LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

国の重要な経済安全保障に関わる情報を、民間の事業者と共有する。そのための枠組みが動き始めています。重要経済安保情報の保護及び活用に関する法律（令和6年法律第27号）が令和7年5月16日から施行され、事業者が「適合事業者」として認定を受ければ、指定された情報の提供を受けて事業に活かせる道が開かれました*1。

この枠組みに手を挙げる場合、情報システム部門には具体的な備えが求められます。しかもその内容は、近年の情報セキュリティの流れ——クラウドへの集約、どこからでも認証を通して使えるようにする設計——とは、方向が違います。

本記事では、適合事業者の認定を検討する企業の情報システム部門と、その環境構築を受託する立場に向けて、公表されているガイドラインをもとに、IT・施設の面で何が求められるのかを整理します。制度の解釈が要る部分は最新の公式資料で確かめながら進めてください。

枠組みの骨格——法、施行令、運用基準、ガイドライン

この制度は、階層的な文書で構成されています。法律の下に施行令（令和7年政令第26号）があり、指定・適性評価・適合事業者の認定について統一的な運用を図るための基準が令和7年1月31日に閣議決定され、さらに事業者向けのガイドラインが令和7年5月2日に公表されています*1。実務で参照するのは、主にこのガイドラインです。

事業者側の登場人物は三種類に整理できます。第一に、認定を受ける「適合事業者」。第二に、適性評価を受けて情報を扱える「取扱者」。第三に、社内の体制を担う「保護責任者」と「業務管理者」です。

重要経済安保情報の取扱いの業務は、適性評価において漏らすおそれがないと認められた者でなければ行ってはならないとされています*2。つまり、人の側にも厳しい絞り込みがかかります。適性評価のための調査は原則として内閣総理大臣（内閣府）が行い、質問票の確認、本人の面接、上司への質問、公務所照会などが想定されています*2。

認定を受けた後は、事情が変わったときの報告も求められます。事業者の基本的な事項、議決権の5%超を直接に保有する者、役員、外国との取引に係る売上高の割合、保護責任者や業務管理者、取扱区画や保管容器、規程や教育資料——これらに変更があれば届ける必要があります*1。一度取れば終わりではなく、継続的な運用が前提の枠組みです。

認定の前提——ガバナンスと人の体制

情報システムの話に入る前に、認定の前提となる部分を押さえておきます。ここが整っていないと、設備を作っても意味がありません。

外国からの所有・支配・影響の把握です。認定の考慮要素として、株主や役員の状況に照らして事業者の意思決定に関して外国の所有・支配・影響がないと認められるかどうかが挙げられています。認定申請書には、議決権の5%超を直接に保有する者の名称・設立準拠法国・議決権保有割合、役員の氏名・国籍・帰化歴の有無、外国との取引に係る売上高の割合を記載することとされています*1。

ガイドラインは、上場会社では信託口（資産管理信託会社）の名称が挙がることで「真の株主」が把握できない場合があると指摘し、その調査を求められることになるため把握しておく必要があるとしています。外国との取引に係る売上高の割合については、50％以上という閾値を超えているか否かを把握しておく必要があるとされています*1。

ここは情報システム部門にとっても示唆があります。株主や役員、取引先の国籍情報を継続的に正確に把握する体制が必要になるということは、そのためのデータ管理の仕組みが要るということです。年に一度の手作業で足りるのか、変更を検知して報告できる形にすべきか——事業の規模によって答えは変わります。

保護責任者と業務管理者です。保護責任者は、事業者における重要経済安保情報の保護の全体の責任を有する者で、どの範囲の従業者に適性評価を受けさせるか、どの部署でどの施設で扱わせるかといった決定を行います。職位としては、株式会社の場合に通常は取締役や執行役クラスが想定され、最低限執行役員以上の権限を有することが適当と考えられるとされています*1。

業務管理者は、重要経済安保情報を取り扱う場所において保護に関する業務を管理し、取扱いの責任を負う立場です。人の出入りや情報そのものの管理を監督します。職位としては、実務と責任を兼ね備える観点から部長職や課長職相当が適当と考えられるとされています*1。

いずれも、規程において指名基準と指名手続を定める必要があります。保護責任者については、その指名に当たって取締役会による決定を要するなど、然るべき内部手続も必要になると考えられるとされています*1。情報システム部門の判断で決められる話ではなく、経営の意思決定が前提になります。

取扱区画——物理的な要件が具体的に示されている

ガイドラインでいちばん具体的なのが、施設設備の部分です。重要経済安保情報を取り扱う場所を「重要経済安保情報取扱区画」と呼び、その構造について例が挙げられています*1。

この一覧を見て気づくのは、判断の主体が事業者ではないという点です。多くの項目に「審査行政機関において適切と認める措置」という言い方が付されており、実際に行政機関による現地での確認も踏まえて判断されることになるとされています*1。自社で仕様を決めて作ってから確認を受けるのではなく、相談しながら進める性格の作業です。

もう一点、区画の内部に適性評価を受けていない者や、当該情報について取扱者の指定がされていない者がいる場合には、間仕切りを設置するなど、取扱い可能な情報以外を知覚することがないよう措置を講じることとされています*1。同じ部屋に複数の案件が同居する構成は、設計の段階で慎重に扱う必要があります。

電子計算機の扱い——近年の設計思想と逆を向く

情報システム部門にとっての核心はここです。重要経済安保情報を電磁的記録の形で取り扱うことが想定されている場合、その情報を取り扱う設備として求められるのは、次の条件を満たす電子計算機です*1。

生体認証等により取扱いを認められた者のみがアクセス可能となるようアクセス制限を講じた、スタンドアローン又はインターネットに接続していない電子計算機。そして、その電子計算機について、事業者が定める情報セキュリティポリシーに厳格に従った最新のサイバーセキュリティ措置が取られていること*1。

加えて、アクセス制限に関して行政機関から認定を受けることが必要とされています*1。自社の判断だけで構成を決められるわけではありません。

ログについても明記があります。重要経済安保情報が記録された電磁的記録を電子計算機で取り扱う場合には、当該電磁的記録の可搬記憶媒体への書き出しログ及び印刷ログを保存しなければならないとされています*1。持ち出しの経路を記録に残すという考え方です。

機器の持込みも制限されます。行政機関から承認された取扱区画に立ち入る場合、携帯電話やスマートフォンなど通信可能な携帯型情報通信機器に加えて、録音機やビデオカメラなど撮影・録画・録音が可能な記録機器も持ち込んではならないとされています。区画の入口には、持込みが禁止されている旨の掲示を施すことが必要とされています*1。

これらを合わせて考えると、近年の情報セキュリティの主流とは方向が違うことがはっきりします。ゼロトラストの考え方は、境界に頼らず、どこからでも認証と認可を通して使えるようにする設計です。いっぽうこの枠組みは、物理的な境界を作り、外との接続を断つことで守ります。

したがって、既存の情報基盤を拡張して対応する、という発想は成り立ちにくくなります。独立した区画と独立した機器を用意し、既存環境とは切り離して運用する。閉じた環境での基盤構築で扱うような、外部接続に頼らない構成の知見が活きる領域です。

ログの保存についても、既存の仕組みをそのまま使えるとは限りません。ログを外部の集約先へ送る構成は、ネットワーク非接続という前提と両立しません。ログの保管と世代管理で扱うような観点で、区画内で完結する保存と取り出しの手順を設計することになります。

情報の取扱いの手順——文書としての管理が中心

ガイドラインの構成を見ると、情報の扱いは文書としての管理を中心に組まれています。接受、保管・管理、複製・作成、簿冊の整備、運搬、閲覧、伝達——それぞれについて規程と契約の条項が対応づけられています*1。

行政機関から提供される文書等は、保護責任者又は保護責任者から指名された者（当該行政機関から適性があると認められた者に限る）が接受しなければならないとされています。接受の際には、指定の有効期間などがあわせて通知され、その内容も実際に取り扱う者へ周知することが必要とされています*1。

指定の有効期間という考え方も、システム設計に関わってきます。有効期間が満了した場合、延長された場合、指定が解除された場合——それぞれについて文書等の扱いが定められています*1。電磁的記録として保持しているなら、期間の管理と、期間到来時の処理を仕組みとして持つ必要があります。

加えて、検査の実施、文書等の返却や廃棄、緊急時の対応、事故発生時の対応についても定めがあります*1。事故が起きたときに何をするのかを、あらかじめ手順として用意しておく性格の枠組みです。

この構造は、既存の情報管理の枠組みと比べると台帳中心の色が濃くなります。情報セキュリティマネジメントの認証を取得している企業なら、資産台帳や記録の管理の考え方は流用できます。ただし、要求される水準と、行政機関の確認を受けるという性格は別物です。既存の認証があるから足りる、とは考えないほうがよいでしょう。

人の管理——派遣労働者と、事情変更への追随

ITの話から少し離れますが、体制の設計に影響する点を二つ挙げます。

派遣労働者の扱いです。ガイドラインには、従業者が派遣労働者である場合の節が置かれ、名簿掲載に係る同意の取得、行政機関から通知される事項の派遣元事業主への共有、派遣元事業主との間で担保すべきことが整理されています*1。外部の要員を含む体制を組む場合、この部分を先に確かめておく必要があります。

システム開発を委託で進めている企業では、ここが実務上の論点になります。開発を担う要員が取扱区画に入る必要があるのか、それとも区画の外で作業できる形にするのか。後者に寄せられるなら、体制の設計はずっと楽になります。

事情変更への追随です。認定後に変更があれば報告が求められる項目には、取扱区画や保管容器に関する変更、規程や教育資料に関する変更が含まれています*1。設備を入れ替えたら報告する、規程を直したら報告する——この運用を回す担当を決めておく必要があります。

取扱者の管理も継続的な作業です。取扱者名簿の整備、適性評価者名簿の整備、そして適性評価に関する個人情報の適切な管理と目的外利用等の禁止が定められています*1。名簿を扱うシステムを作るなら、その名簿自体が機微な情報として扱われることになります。特権アクセスの管理で扱うような、誰が何を見られるかを絞る設計が求められます。

取り組むかどうかの判断と、受託・委託の要点

最後に、実務としての進め方を整理します。

まず、範囲を絞ることです。全社を対象にする必要はありません。どの事業で、どの情報を扱うのか。それに応じて、取扱区画を一つ設ける形で足りる場合もあります。範囲が広がるほど、設備と人の負担が増えます。

次に、既存環境との切り離しを設計に織り込むことです。スタンドアローン又は非接続という前提は、既存の運用と両立しません。パッチの適用、バックアップ、監視——通常はネットワーク経由で行っている作業を、どう代替するかを決めておきます。

そして、行政機関との確認を工程に入れることです。アクセス制限について認定を受ける必要があり、施設についても現地での確認が踏まえられます*1。自社で作ってから見せる進め方だと、手戻りが大きくなります。設計の段階で相談する前提の工程を引きます。

受託・委託の観点では、次の点を押さえます。

第一に、委託先の要員が区画に入る必要があるかを先に決めることです。入る必要があるなら、適性評価や派遣元との取り決めが絡んできます。入らずに済む構成にできれば、体制はずっと簡素になります。

第二に、構築と運用を分けて考えることです。設備の構築は一時的な作業ですが、運用は続きます。誰が日々の管理を担うのか、機器の更新はどうするのか。運用の担い手を決めずに構築だけ進めると、後で困ります。

第三に、制度解釈の窓口を明確にすることです。ガイドラインの読み方や行政機関との調整は、法務や経営企画の領域です。開発側は決まった要件を実装する役割に集中し、解釈の窓口を分けておきます。

第四に、他の制度との重なりを整理することです。外国との取引に関わる企業なら、輸出管理の該非判定で扱うような枠組みとも隣接します。担当部署が分かれていると、同じ情報を別々に管理する重複が生じます。

体制としては、閉じたネットワークでの構築経験を持つ要員が入れるかが分かれ目になります。クラウド前提の設計に慣れた体制だと、外部接続に頼れない環境での勘所が分かりません。物理設備と情報システムの両方を見られる体制を作れるかを、委託先を選ぶ観点に入れておくとよいでしょう。

まとめ：適合事業者のIT要件で押さえる3つの視点

重要経済安保情報の保護及び活用に関する法律は令和7年5月16日から施行され、適合事業者として認定を受けた事業者が指定された情報の提供を受ける道が開かれています。押さえたい視点は三つです。第一に、認定の前提として、議決権の5%超を保有する者や役員の国籍、外国との取引に係る売上高の割合を継続的に把握する体制と、執行役員以上の権限を持つ保護責任者・部長課長相当の業務管理者を規程にもとづき指名する体制が求められること。第二に、取扱区画には天井壁床の構造から出入口の数、扉の認証、窓の遮蔽まで具体的な措置の例が示され、多くは審査行政機関が適切と認めるかどうかで判断されるため、設計段階から相談する工程が要ること。第三に、電磁的記録を扱う電子計算機はスタンドアローン又はインターネット非接続で生体認証等のアクセス制限を講じたものとされ、可搬記憶媒体への書き出しログと印刷ログの保存が求められるため、既存のクラウド前提の情報基盤の延長では成り立たないことです。まずは対象とする事業と情報の範囲を絞り、既存環境から切り離した区画として設計するところから着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：内閣府「重要経済安保情報保護活用法の運用に関するガイドライン（適合事業者編）（第1版）」（https://www.cao.go.jp/keizai_anzen_hosho/hogokatsuyou/doc/jigyousyagl.pdf）。認定の前提、保護責任者・業務管理者、取扱区画の施設設備、電子計算機の使用の制限とログ保存、情報の取扱手順の一次情報として（2026年8月確認）
2. *2　参考：内閣府「重要経済安保情報保護活用法」（https://www.cao.go.jp/keizai_anzen_hosho/hogokatsuyou/hogokatsuyou.html）。法律・施行令・運用基準および施行時期の確認として（2026年8月確認）

Tweet