高度化するサイバー攻撃から国や企業を守る「能動的サイバー防御」を実現するサイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律）が2025年に成立しました。2025年7月、2026年4月に一部が施行され、2026年10月1日に主要な規定が施行されるほか、2027年にかけて段階的に施行されます。従来の防御に加え、攻撃の兆候を捉え、被害を未然に防ぐための国の対応能力を強化する制度です。

しかし、段階的に動き出す制度の全体像や、「自社のビジネスにどのような法的・実務的影響が及ぶのか」を正確に把握できている方は多くありません。本記事では、能動的サイバー防御の基礎概念から施行時期、企業が今から取り組めるリスク管理と対応策までを分かりやすく解説します。

従来のサイバー攻撃対策との決定的な違い

能動的サイバー防御の本質を理解するためには、まず「従来のセキュリティ対策」と「新たな防衛アプローチ」の決定的な違いを把握することが重要です。この違いは、防御を実施する「場所」と「タイミング」に明確に表れます。

受動的防御と能動的防御の基本的なアプローチの違い

これまで多くの企業や政府機関が導入してきた対策は、基本的に「受動的防御」と呼ばれるアプローチです。これは、自社のネットワークと外部のインターネット空間との境界線にファイアウォールや侵入検知システムを設置し、不正なアクセスを検知・遮断するという仕組みです。

対して「能動的サイバー防御」は、自社のネットワーク内部や境界線での防御に加え、通信情報の取得・分析などによって攻撃の兆候を把握し、必要に応じて警察や自衛隊が攻撃関係サーバー等への「アクセス・無害化措置」を行うことで、被害の未然防止を図るものです。

なぜ今「未然防止と無害化」が求められているのか

受動的な防御だけでは限界を迎えつつある背景には、サイバー攻撃の「スピード」と「深刻度」が劇的に増している事情があります。データを暗号化して身代金を要求するランサムウェア攻撃などは、一度ネットワーク内部への侵入を許せば、わずかな時間でシステム全体を停止させ、事業継続を根底から脅かします。攻撃が到達してから対処する「事後対応」では、社会インフラや企業の根幹を守り切ることが難しいため、被害が発生する前段階で脅威を摘み取る「未然防止」が国家レベルで強く求められているのです。

能動的サイバー防御の制度概要と法的な議論

未然に攻撃を防ぐ画期的な仕組みである反面、日本国内でこれを本格的に運用するためには、乗り越えなければならない法的なハードルが存在します。ここでは、想定されている制度のプロセスと、議論の的となっている法的課題について解説します。

攻撃インフラの検知から無害化までのプロセス

政府が整備する能動的サイバー防御は、通信情報などを活用した「把握・分析」と「アクセス・無害化措置」などを組み合わせて、サイバー攻撃による被害を未然に防ぐ仕組みです。

通信情報等を分析して攻撃の兆候や攻撃インフラを把握し、重大なサイバー攻撃への対処が必要と判断された場合には、警察や自衛隊が攻撃関係サーバー等にアクセスし、攻撃プログラムの停止・削除などの無害化措置を行います。なお、措置には独立機関による承認など、適正性を確保するための手続が設けられています。

「通信の秘密」や「不正アクセス禁止法」との兼ね合い

能動的サイバー防御では、通信情報の取得・分析を行うため、憲法第21条や電気通信事業法で保障される「通信の秘密」との調整が重要な論点となります。そこでサイバー対処能力強化法には、通信の秘密を尊重する規定や、通信情報の取扱いを審査・検査する「サイバー通信情報監理委員会」が設けられています。

また、攻撃者のサーバー等へのアクセス・無害化については、改正された警察官職務執行法や自衛隊法に具体的な根拠と手続が設けられています。警察・自衛隊による措置には、一定の場合に独立機関の承認を求める仕組みなどが設けられています。

• 制度上の主な論点
  • 通信の秘密との調整： 通信情報の取得・分析について、必要性と適正性をどのように確保するか。
  • アクセス・無害化の適正性： 攻撃関係サーバー等への措置を、どのような要件・手続で実施するか。
  • プライバシーとの均衡： サイバー攻撃への対処と個人の権利・利益をどう両立するか。

民間企業への法的な影響範囲と求められる対応

「国家の安全保障に関わる施策であれば、一般の企業には直接的な関わりが薄い」とお考えの方もいらっしゃるかもしれません。しかし、新制度では、基幹インフラ事業者などの「特別社会基盤事業者」に対して、特定重要電子計算機の届出やインシデント報告などが求められます。また、一般企業もサプライチェーンなどを通じて間接的な影響を受ける可能性があります。

自社が「踏み台」にされるリスク

一般企業にとって現実的なリスクの一つが、自社のサーバーや社内システムが攻撃者に乗っ取られ、他社や他国への攻撃の「踏み台」として悪用されるケースです。攻撃者は自身の身元を隠すため、脆弱なシステムを中継地点として利用することがあります。

ただし、新法によって一般企業に一律のログ提出義務やネットワーク遮断義務が生じるわけではありません。企業としては、攻撃を受けた場合に速やかに状況を把握し、関係機関や取引先と連携できる体制を整えておくことが重要です。

制度運用を見据えたログ管理と社内体制の構築

法改正による国の権限や事業者への要請が明確化されることを踏まえ、企業は平時から「サイバー攻撃を受けた際に迅速に状況を把握し、関係機関と連携できる体制」を整えておくことが重要です。

第一に、通信ログやシステムへのアクセスログを適切に取得・管理し、インシデント発生時に原因を究明できる体制を整えます。また、トラブル発生時に「誰が判断し、どのように外部機関や顧客へ対応するのか」を定めたインシデント対応計画を策定しておくことも重要です。

• 企業が見直したい管理体制の例
  • ログ管理基盤の整備： アクセス履歴や通信記録を適切に管理し、有事に分析できる環境を整える。
  • 社内規程・ポリシーの確認： インシデント発生時の情報共有や外部機関との連携方法を整理する。
  • インシデント対応手順の明確化： 被害を受けた場合や「踏み台」となった場合を想定し、社内外への連絡体制を構築する。

まとめ

能動的サイバー防御に関する法整備はすでに成立しており、2026年10月1日の主要規定の施行をはじめ、2027年にかけて段階的に制度が動き始めます。企業は、自社が制度上の対象となるかを確認するとともに、今後の運用やガイドラインの動向を把握しておくことが重要です。

ただし、新法による直接的な義務は企業によって異なり、すべての企業に同じ対応が求められるわけではありません。一方で、サイバー攻撃の被害や踏み台化を防ぐため、従業員のセキュリティリテラシー向上や、ログ管理、インシデント対応体制の整備は、企業規模を問わず重要です。

組織全体の知識を効率よく底上げする手段として、オンラインで手軽に受講できる「e-JINZAI for business 情報セキュリティ研修」といった動画学習の活用も有効です。法制度への対応と日常的なセキュリティ教育を両輪として、組織全体のセキュリティ基盤を強化していきましょう。

---

※本記事は、能動的サイバー防御に関する法制度について、2026年9月時点の公開情報をもとに一般的な内容を解説したものです。制度の適用範囲や必要な対応は事業者によって異なります。最新の法令・公表情報をご確認のうえ、自社の状況に応じて対応してください。

参考資料：国家サイバー統括室
法令
サイバー対処能力強化法の概要説明資料
アクセス・無害化措置の運用に関する指針
重要インフラ対策関連