サイバー攻撃から社会を守る責任は、誰が負うべきなのでしょうか。
企業が自社の情報システムを守ることは当然ですが、攻撃が国境を越え、金融、通信、電力、交通などの重要インフラに及ぶ場合、個々の企業だけで対応することには限界があります。
2026年10月に発生したGMOインターネットグループへの大規模な不正アクセス事件は、この問題を改めて浮き彫りにしました。
今回の事件では、外国為替証拠金取引の自動売買などに利用されるクラウドサービスが攻撃を受け、顧客情報の流出や不正な金融取引の疑いが生じました。
GMOは被害拡大を防ぐためにサービスを停止し、利用者への補償方針を発表しました。
さらに、政府に対して能動的サイバー防御の適用を緊急要請するという異例の対応に踏み切りました。
2026年10月1日には、能動的サイバー防御に関する法律の施行が始まっています。
これにより、日本のサイバーセキュリティー政策は、企業による自主的な防御を基本としながら、重大な攻撃に対して国家が一定の役割を果たす方向へと転換しつつあります。
しかし、政府が企業のすべてのサイバー攻撃に介入できるわけではありません。
また、国家による防御を強化すれば、企業自身の安全管理責任が軽くなるというものでもありません。
今回は、10回シリーズの最終回として、国家と企業の役割分担、能動的サイバー防御の課題、重要インフラの保護、中小企業への支援、国際協力の必要性を整理し、日本が目指すべきサイバー防御の将来像について考えます。
サイバー攻撃は企業だけの問題ではなくなった
かつて、サイバー攻撃は企業の情報システムに対する不正侵入や情報窃取が中心的な問題として捉えられていました。
しかし、デジタル化が進んだ現在では、企業の情報システムが社会全体の活動を支えています。
例えば、金融機関の決済システムが停止すれば、企業間の資金決済や個人の生活に影響が及びます。
また、通信事業者のシステムが停止すれば、行政機関や医療機関の業務にも支障が生じる可能性があります。
電力や交通などの重要インフラが攻撃を受けた場合には、国民生活や経済活動に深刻な影響が及ぶ恐れがあります。
このような状況では、サイバー攻撃を個々の企業だけの問題として扱うことはできません。
企業の情報システムが社会の重要な機能を支えている以上、サイバーセキュリティーは国家の安全保障や経済安全保障とも密接に関係しています。
ただし、社会的な影響が大きいという理由だけで、政府があらゆる企業のシステムに自由に介入できるわけではありません。
国家の役割を拡大する場合には、法律上の根拠と適切な手続きが必要になります。
能動的サイバー防御が意味する政策転換
能動的サイバー防御とは、重大なサイバー攻撃による被害を防止するため、攻撃の兆候を把握し、一定の条件の下で攻撃元に対する無害化措置などを行う仕組みです。
従来のサイバーセキュリティー対策では、企業や行政機関が自らのシステムを防御することが中心でした。
例えば、不正アクセスを防ぐための認証管理や、脆弱性を修正するためのソフトウエア更新などです。
一方、能動的サイバー防御では、重大な攻撃に対して、国家がより積極的な役割を果たすことになります。
ただし、無害化措置には法定の要件や手続きがあり、企業から要請があれば直ちに実施されるものではありません。
攻撃の重大性、緊急性、国民生活への影響などを踏まえた判断が必要です。
また、通信情報の利用についても、通信の秘密やプライバシーの保護との関係を慎重に考える必要があります。
能動的サイバー防御は、単に攻撃への対応能力を高める制度ではありません。
国家の安全保障と国民の権利をどのように両立させるかという、重要な制度改革でもあるのです。
GMO事件が示した国家と企業の境界線
今回のGMO事件では、民間企業が政府に対して能動的サイバー防御の適用を要請しました。
この対応は、企業が自社の技術的な対策だけでは十分に対応できないと判断した場合、国家による支援を求める可能性があることを示しています。
ただし、民間企業への攻撃が発生したという事実だけで、政府による無害化措置が認められるわけではありません。
例えば、ある企業の顧客情報が漏洩した場合と、金融決済システム全体の停止につながる攻撃が発生した場合では、社会的な影響が異なります。
政府が介入する必要性についても、こうした違いを考慮する必要があります。
また、企業自身による防御や被害拡大防止措置が引き続き重要です。
GMO事件でも、サービス停止や顧客への補償などは企業自身が判断して実施する対応です。
国家による防御と企業による危機管理は、役割が異なります。
政府は重大な攻撃に対する国家的な対応を担い、企業は自社のシステムや顧客を守るための安全管理を継続する必要があります。
両者を適切に組み合わせることが重要です。
国家が担うべき役割
国家が担うべき役割の一つは、国民生活や経済活動に重大な影響を及ぼすサイバー攻撃への対応です。
特に、金融、通信、電力、交通、医療などの重要インフラでは、攻撃による影響が広範囲に及ぶ可能性があります。
こうした分野では、個々の企業が保有する情報だけでは、攻撃の全体像を把握することが難しい場合があります。
そのため、政府が複数の事業者から情報を集約し、攻撃の傾向や脅威を分析することには意義があります。
また、海外からの攻撃については、外国政府や国際機関との協力が必要になる場合があります。
さらに、重大な攻撃が発生した場合には、警察や自衛隊などの関係機関が、それぞれの権限に基づいて対応することになります。
ただし、国家の権限を拡大する際には、適切な監督や検証の仕組みが必要です。
国民の権利を保護しながら、実効性のある防御を実現することが求められます。
企業が担うべき役割
国家によるサイバー防御が強化されても、企業自身の安全管理責任がなくなるわけではありません。
企業は、自社が保有する情報資産や業務システムを適切に管理する必要があります。
例えば、重要なシステムへのアクセス権限を制限し、多要素認証を導入することが重要です。
また、ソフトウエアの脆弱性を適切に修正し、不正アクセスを早期に検知する仕組みを整備する必要があります。
さらに、重大な事故が発生した場合に備えて、バックアップや事業継続計画を整備することも重要です。
特に、顧客情報や金融取引情報を取り扱う企業では、事故による影響が大きくなる可能性があります。
そのため、取締役会や経営陣がサイバーリスクを重要な経営課題として認識する必要があります。
政府が重大な攻撃に対応する仕組みを整備しても、日常的な安全管理は企業自身が担うことになります。
国家による防御を理由として、企業が必要なセキュリティー投資を削減することは適切ではありません。
情報共有が共同防御の基盤になる
国家と企業が協力してサイバー攻撃に対応するためには、情報共有が重要です。
例えば、ある企業が新しい攻撃手法を確認した場合、その情報を関係機関や他の企業と共有することで、同様の被害を防止できる可能性があります。
また、複数の企業で似たような不審な通信が確認された場合、それらを分析することで攻撃の全体像を把握できることがあります。
しかし、企業にとっては、サイバー事故に関する情報を外部へ提供することに慎重になる理由もあります。
例えば、事故の公表によって企業の信用が低下する可能性があります。
また、顧客情報や営業秘密が含まれる場合には、情報の取り扱いに注意が必要です。
そのため、情報共有の仕組みを整備する際には、提供する情報の範囲や利用目的を明確にする必要があります。
さらに、共有された情報が適切に保護されることも重要です。
企業が安心して情報を提供できる環境を整えることが、共同防御の実効性を高めることにつながります。
重要インフラを守るための連携
重要インフラのサイバーセキュリティーでは、政府と民間事業者の連携が欠かせません。
例えば、電力会社のシステムが攻撃を受けた場合、影響がその企業の顧客だけにとどまらない可能性があります。
また、通信事業者の障害が発生すれば、金融機関や医療機関など、他の重要インフラにも影響が及ぶことがあります。
このように、現代の社会インフラは相互に依存しています。
そのため、個々の企業が自社のシステムだけを守っていても、社会全体の安全性を確保することは難しい場合があります。
政府には、重要インフラ全体のリスクを把握し、事業者間の連携を支援する役割があります。
一方、各事業者には、自社のシステムの安全性を確保し、事故発生時に適切な情報提供を行うことが求められます。
重要なのは、政府がすべてを管理する仕組みではなく、各事業者の専門性と国家の調整機能を組み合わせることです。
中小企業を共同防御から取り残さない
日本のサイバー防御を考えるうえで、中小企業への支援は重要な課題です。
大企業では、専門の情報システム部門やセキュリティー担当者を配置している場合があります。
一方、中小企業では、人員や予算の制約から、十分な安全管理措置を講じることが難しい場合があります。
しかし、中小企業も顧客情報や取引先情報など、多くの重要情報を保有しています。
また、大企業の取引先である中小企業が攻撃を受け、その接続関係を利用して別の企業への侵入が試みられる可能性もあります。
そのため、中小企業のサイバーセキュリティー対策は、日本経済全体の安全性にも関係します。
政府や業界団体には、基本的な安全管理措置の普及、専門家による相談支援、事故対応体制の整備などを支援する役割があります。
また、大企業が取引先に対して安全管理を求める場合には、必要な情報提供や支援を行うことも重要です。
中小企業に一方的に高度な対策を求めるだけでは、実効性のある防御体制を構築することは難しいと考えられます。
企業規模に応じた合理的な対策を普及させることが、日本全体の防御力向上につながります。
AI時代には防御の速度が問われる
人工知能の進化によって、サイバー攻撃の速度や規模が変化する可能性があります。
生成AIやAIエージェントを利用すれば、情報収集や分析の一部を自動化することができます。
また、大量の不審なメールを短時間で作成するなど、攻撃の準備を効率化することも技術的には可能です。
こうした状況では、企業が攻撃を受けてから対応するだけでは、被害拡大を防げない場合があります。
そのため、攻撃の兆候を早期に把握し、迅速に情報共有する仕組みが重要になります。
一方、防御側もAIを活用することができます。
例えば、大量の通信記録を分析し、不審な動きを検知することが考えられます。
また、複数の企業で確認された攻撃の特徴を分析することで、新たな脅威を早期に把握できる可能性があります。
ただし、AIによる判断には誤りもあります。
そのため、AIによる分析と人間による判断を組み合わせることが重要です。
国家と企業の共同防御では、技術の高度化だけでなく、迅速で適切な意思決定の仕組みが求められます。
国家による防御と通信の秘密の両立
能動的サイバー防御を進めるうえで、重要な論点となるのが通信の秘密やプライバシーの保護です。
サイバー攻撃の兆候を把握するためには、通信に関する情報を分析する必要が生じる場合があります。
しかし、通信には企業活動や個人生活に関する重要な情報が含まれています。
そのため、国家が通信情報を利用する場合には、法律上の根拠と適切な手続きが必要です。
また、利用する情報の範囲や目的を明確にし、必要性を超えた利用を防止する仕組みが重要になります。
さらに、独立した立場から制度の運用を監督する仕組みも必要です。
サイバー攻撃への対応能力を高めることは重要ですが、それによって国民の権利が不当に制約されてはなりません。
国家の安全保障と個人の権利を両立させることが、制度への信頼を支える条件となります。
国際協力なしにサイバー攻撃は防げない
サイバー攻撃は国境を越えて実行されることがあります。
攻撃者が海外に存在する場合、日本国内の企業や行政機関だけでは十分に対応できない可能性があります。
また、攻撃に利用されるサーバーが複数の国に分散している場合もあります。
このような状況では、外国政府や国際機関との協力が重要になります。
例えば、攻撃に関する情報の共有や、犯罪捜査における国際協力などが考えられます。
さらに、サイバー空間における国家の行動について、国際的なルールや共通認識を形成することも重要です。
ただし、国家間では、安全保障上の利害や法制度が異なります。
そのため、すべての国が同じ基準でサイバー攻撃に対応できるわけではありません。
日本には、国際協力を進めながら、自国の法制度に基づく適切な対応能力を整備することが求められます。
サイバー防御に必要な人材をどう確保するか
サイバー防御の実効性を高めるためには、専門人材の確保が欠かせません。
企業では、情報システムの安全管理、不正アクセスの分析、事故対応などに関する専門知識が必要です。
また、政府機関でも、技術的な分析能力に加え、法律や国際関係に関する知識が求められます。
しかし、高度な専門人材をすべての企業や行政機関が十分に確保することは容易ではありません。
そのため、専門人材の育成とともに、外部専門家の活用や組織間の協力が重要になります。
また、技術者だけでなく、経営者や法務担当者、経理担当者なども、サイバーリスクに関する基本的な知識を持つ必要があります。
例えば、重大な事故が発生した場合には、技術的な原因調査と同時に、顧客への補償、情報開示、会計処理などを検討する必要があります。
サイバー防御は、一部の専門家だけで完結するものではありません。
技術、法律、会計、経営など、複数の専門分野が連携することで、実効性のある対応が可能になります。
サイバー防御への投資をどう考えるか
企業経営者にとって、サイバーセキュリティー対策への投資は重要な経営判断です。
例えば、セキュリティー対策を強化すれば、設備投資や人件費が増加する可能性があります。
一方、十分な対策を講じなければ、重大なサイバー攻撃によって多額の損失が発生する恐れがあります。
そのため、投資額だけでなく、事故発生の可能性や想定損害額を踏まえて判断する必要があります。
例えば、重要なシステムが停止した場合の売上減少、復旧費用、顧客への補償金などを試算することが考えられます。
また、サイバー保険によって一部の経済的リスクを移転することも有効です。
ただし、保険によってすべての損害を補償できるわけではありません。
特に、顧客からの信用低下や将来の企業価値の減少は、保険だけでは十分に対応できない場合があります。
サイバーセキュリティーへの投資は、情報システムを守るための費用であると同時に、企業の収益力や信用を維持するための経営投資でもあります。
日本が目指すべき共同防御の仕組み
今後、日本が目指すべきサイバー防御は、国家と企業がそれぞれの役割を果たしながら、相互に連携する仕組みだと考えられます。
政府には、重大なサイバー攻撃への対応、脅威情報の分析、重要インフラの保護、国際協力などの役割があります。
一方、企業には、自社の情報資産を適切に管理し、事故発生時に迅速な対応を行う責任があります。
また、業界団体やセキュリティー事業者には、専門的な知識や情報を共有し、企業の防御力向上を支援する役割があります。
さらに、中小企業を含めた幅広い事業者が基本的な安全管理措置を実施できる環境を整えることも重要です。
共同防御の実効性を高めるためには、情報共有の仕組み、責任分担、事故対応手順を明確にする必要があります。
また、政府による権限行使については、法律上の要件と適切な監督を確保することが不可欠です。
国家による防御能力の強化と、企業による自主的な安全管理を両立させることが、日本のサイバーセキュリティー政策の重要な方向性となります。
結論
GMOインターネットグループへの不正アクセス事件は、サイバー攻撃が個々の企業の情報システムにとどまらず、金融取引や社会の重要な機能に影響を及ぼす可能性を示しました。
また、企業が政府に対して能動的サイバー防御の適用を要請したことは、国家と企業の役割分担を考える重要な契機となりました。
2026年10月1日に施行が始まった能動的サイバー防御に関する法律は、日本のサイバーセキュリティー政策における大きな転換点です。
しかし、国家による防御能力を強化するだけでは、すべてのサイバー攻撃を防ぐことはできません。
企業自身による安全管理、委託先管理、事業継続計画、事故対応体制の整備が引き続き重要です。
また、サイバー攻撃が国境を越えて実行されることを考えると、国際協力や脅威情報の共有も欠かせません。
さらに、AIの進化によって攻撃の速度や規模が変化する可能性がある中で、防御側にも迅速な分析と意思決定が求められます。
今後、日本が目指すべきなのは、国家が企業の防御をすべて代行する仕組みではありません。
国家、企業、業界団体、専門家がそれぞれの役割を果たし、必要な情報を共有しながら、社会全体の防御力を高める仕組みです。
その際には、国家の安全保障と国民の権利を両立させることが重要になります。
サイバーセキュリティーは、もはや情報システム部門だけの問題ではありません。
企業の事業継続、金融資産の保護、重要インフラの安全、国家の経済安全保障に関わる重要な課題です。
これからの日本には、企業の自主的な責任と国家の防御能力を組み合わせた、新しいサイバー防御の仕組みが求められています。
そして、その仕組みを実効性のあるものにするためには、制度の整備だけでなく、経営者自身がサイバーリスクを理解し、継続的に対策を実施することが不可欠なのです。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」
GMOインターネットグループ 2026年10月24日 不正アクセス事件に関する発表
内閣官房 国家サイバー統括室「サイバーセキュリティーに関する政策」
経済産業省 2023年3月「サイバーセキュリティ経営ガイドライン Ver 3.0」
情報処理推進機構「情報セキュリティ10大脅威」
サイバー対処能力強化法
サイバー対処能力強化法整備法