2026年10月1日、日本のサイバーセキュリティー政策が大きな転換点を迎えました。
能動的サイバー防御に関する法律が施行され、一定の要件の下で警察や自衛隊がサイバー攻撃に利用されているサーバーにアクセスし、攻撃プログラムの停止や削除などの無害化措置を講じることが可能になりました。
従来の日本のサイバー防御は、自国のシステムへの侵入を防ぐことを基本としていました。
しかし、サイバー攻撃が高度化し、電力、通信、金融、交通などの重要な社会インフラが標的となる中で、攻撃を受けてから対応するだけでは被害を防ぎきれなくなっています。
こうした状況で発生したのが、GMOインターネットグループへの不正アクセス事件です。
GMOは2026年10月24日、政府に対して能動的サイバー防御の適用を緊急要請しました。
今回の要請は、企業のサイバー攻撃対策と国家安全保障の関係を考える重要な事例となっています。
今回は、能動的サイバー防御の仕組みと従来の防御との違い、警察や自衛隊の役割、制度の課題について解説します。
能動的サイバー防御とは何か
能動的サイバー防御とは、サイバー攻撃の兆候を早期に把握し、攻撃による重大な被害が発生する前に必要な対処を行う仕組みです。
従来のサイバー防御では、企業や政府機関が自らのネットワークを保護することが中心でした。
例えば、不正アクセスを防ぐためのファイアウォールの設置、ウイルス対策ソフトの導入、通信記録の監視などです。
これらは現在でも不可欠な対策ですが、基本的には自社のシステムを守ることに重点があります。
これに対し、能動的サイバー防御では、攻撃者が利用しているサーバーなどに対して、政府が一定の条件の下で無害化措置を講じることができます。
例えば、攻撃者が外部のサーバーを通じて複数の企業に不正な指令を送信している場合、その指令機能を停止させることが想定されています。
重要なのは、被害が拡大してから復旧するだけでなく、攻撃そのものを阻止することを目指している点です。
ただし、能動的サイバー防御は、政府が自由に外国のコンピューターへ侵入できる制度ではありません。
法律に定められた要件と手続きに従って実施する必要があります。
なぜ日本は制度を導入したのか
能動的サイバー防御の導入には、サイバー攻撃を巡る国際環境の変化があります。
現在の社会では、電力、ガス、水道、通信、金融、交通、医療など、多くの重要な機能が情報システムに依存しています。
これらのシステムが攻撃されれば、単なる情報漏洩にとどまらず、国民生活や経済活動に深刻な影響が及ぶ可能性があります。
例えば、電力会社の制御システムが攻撃されれば、広範囲の停電につながる恐れがあります。
金融機関の決済システムが停止すれば、企業間の資金決済や個人の生活にも影響します。
通信ネットワークが機能しなくなれば、行政機関や医療機関の活動にも支障が生じます。
さらに、国家が関与していると疑われるサイバー攻撃も国際的な安全保障上の課題となっています。
サイバー空間では、攻撃者が国境を越えて活動できるため、国内の企業が自社の設備を守るだけでは十分な対策にならない場合があります。
こうした背景から、日本でも政府が攻撃の兆候を把握し、必要に応じて攻撃元に対処する仕組みが整備されました。
従来の防御と何が違うのか
従来のサイバーセキュリティー対策では、攻撃を受ける側が防御設備を整備することが基本でした。
例えば、企業のネットワークに不審な通信が届いた場合、その通信を遮断することで侵入を防ぎます。
しかし、攻撃者が別の経路から繰り返し攻撃を仕掛ければ、防御側は対応を続けなければなりません。
特に、複数のサーバーを利用した大規模な攻撃では、個別企業による防御だけでは限界があります。
能動的サイバー防御では、攻撃に利用されているシステムそのものを無害化することによって、被害の発生や拡大を防ぐことを目指します。
例えば、攻撃者が多数の感染端末を遠隔操作している場合、その指令を出すサーバーの機能を停止させることが考えられます。
ただし、攻撃に利用されているサーバーが第三者の所有物である可能性もあります。
攻撃者が無関係の企業のサーバーを乗っ取り、攻撃の踏み台として利用することもあるからです。
そのため、無害化措置には慎重な対象の特定と、第三者への影響を抑える対応が必要です。
警察と自衛隊の役割
能動的サイバー防御では、警察と自衛隊が重要な役割を担います。
国民の社会経済活動に重大な影響を及ぼすサイバー攻撃については、警察による対処が想定されています。
一方、国家安全保障上の脅威となり得る重大な事案では、警察と自衛隊が共同で対応する仕組みです。
例えば、重要インフラへの攻撃によって社会生活が広範囲に混乱する恐れがある場合、政府が攻撃の実態を分析し、必要な措置を検討します。
ただし、警察や自衛隊が攻撃元のサーバーを発見しただけで、直ちに無害化措置を実施できるわけではありません。
法律上の要件を満たす必要があり、原則としてサイバー通信情報監理委員会の事前承認を得ることが求められます。
この委員会は、政府による通信情報の利用や無害化措置について、適正な手続きを確保するための重要な役割を担います。
サイバー攻撃への迅速な対応と、政府の権限行使に対する監督を両立させることが制度の基本となっています。
国家サイバー統括室の役割
能動的サイバー防御の運用では、国家サイバー統括室が中心的な役割を担います。
国家サイバー統括室は、政府全体のサイバーセキュリティー政策を調整し、関係機関との連携を進める組織です。
サイバー攻撃は、警察や自衛隊だけで対処できる問題ではありません。
攻撃対象となった企業、所管省庁、情報通信事業者などから情報を収集し、攻撃の実態を把握する必要があります。
例えば、ある企業で不正アクセスが発生した場合、その攻撃が単独の犯罪なのか、複数の企業を狙った組織的な攻撃なのかを分析することが重要です。
攻撃の痕跡や通信記録を共有することで、別の企業への被害を防げる可能性もあります。
今回のGMO事件でも、政府は提供された情報を基に攻撃元の特定や被害状況の分析を進めるとされています。
ただし、情報の収集と分析を行うことと、実際に無害化措置を実施することは別の判断です。
政府は、攻撃の重大性や緊急性などを踏まえて対応を検討することになります。
企業の要請だけでは発動されない
今回のGMOによる緊急要請で注目されたのは、民間企業が政府に能動的サイバー防御の適用を求めた点です。
GMOは、民間事業者が単独で高度なサイバー攻撃を防御することには限界があると説明しています。
しかし、能動的サイバー防御法には、企業が申請すれば政府による無害化措置が発動される仕組みはありません。
政府は、企業から情報提供や相談を受けることはできますが、実際の措置については独自に判断します。
判断に当たっては、国民生活への影響、社会経済活動への重大な支障、安全保障上の脅威、攻撃の緊急性などが重要になります。
今回の事件では、外国為替証拠金取引の利用者に被害が生じた可能性があります。
しかし、個別企業への攻撃が直ちに国家による無害化措置の対象になるとは限りません。
企業の被害と国家安全保障上の問題をどのように区別するかは、今後の制度運用における重要な課題です。
外国のサーバーへの対応と国際法
能動的サイバー防御で特に難しいのが、外国にあるサーバーへの対応です。
サイバー攻撃では、攻撃者が自国以外のサーバーを利用することが珍しくありません。
そのため、攻撃元とみられるサーバーが海外に存在する場合があります。
しかし、外国にあるサーバーへ日本の政府機関がアクセスし、プログラムを停止する行為には国際法上の問題が生じる可能性があります。
相手国の主権との関係や、措置の必要性、相当性などを慎重に検討する必要があります。
日本の制度では、外国にあるサーバーへの対応について、外務大臣が国際法上許容される範囲であるかを確認する仕組みが設けられています。
また、攻撃に利用されたサーバーが第三者の管理する設備である場合、無関係の利用者に影響が及ぶ恐れもあります。
能動的サイバー防御は、技術的に実施できることと、法律上実施してよいことを区別しなければならない制度です。
通信情報の取得とプライバシー保護
能動的サイバー防御では、攻撃の兆候を把握するために通信情報を分析する仕組みも重要になります。
サイバー攻撃は、通信ネットワークを通じて行われます。
そのため、不審な通信の発信元や接続先、通信の特徴などを分析することが、攻撃の早期発見につながります。
一方、通信情報の取得には、個人のプライバシーや通信の秘密との関係で慎重な対応が必要です。
日本国憲法では通信の秘密が保障されています。
政府がサイバー攻撃対策を理由として、無制限に通信情報を取得できるわけではありません。
能動的サイバー防御法では、通信情報の利用について一定の要件や手続きを設けています。
企業側の同意によらない通信情報の取得に関する規定は、2027年秋に施行される予定です。
そのため、2026年10月時点では、企業などから提供される情報が攻撃の分析において重要な役割を果たしています。
今後は、攻撃の早期発見と通信の秘密の保護をどのように両立させるかが重要になります。
能動的サイバー防御が企業経営に与える影響
能動的サイバー防御の導入は、企業のセキュリティー対策にも影響を与えます。
ただし、政府が攻撃元への対処を担うようになったからといって、企業自身の安全管理責任が軽くなるわけではありません。
企業には引き続き、自社のシステムを適切に管理し、不正アクセスを防止するための対策が求められます。
例えば、ソフトウエアの更新、多要素認証の導入、アクセス権限の管理、通信記録の保存などです。
また、攻撃を受けた場合には、被害状況を正確に把握し、関係機関へ迅速に情報提供することが重要になります。
攻撃の痕跡を適切に保存しておけば、政府や警察による分析にも役立ちます。
一方、事故発生後にシステムを不用意に初期化してしまえば、攻撃の原因を調査するための証拠が失われる可能性があります。
企業経営者は、サイバー攻撃への対応を情報システム部門だけに任せるのではなく、危機管理体制の中に位置づける必要があります。
能動的サイバー防御は、企業の自主的な防御を代替する制度ではなく、重大な攻撃に対する国家としての対応能力を補完する制度と考えるべきです。
日本の安全保障政策はどう変わるのか
能動的サイバー防御の導入は、日本の安全保障政策における重要な変化です。
従来の安全保障では、領土、領海、領空を守ることが中心的な課題でした。
しかし、現在ではサイバー空間も国家の安全保障に直結する領域となっています。
電力や通信などの重要インフラがサイバー攻撃によって停止すれば、物理的な破壊を伴わなくても社会全体が混乱する可能性があります。
また、金融システムや行政システムへの攻撃は、経済活動や国民生活に大きな影響を及ぼします。
こうした脅威に対して、政府が攻撃の兆候を早期に把握し、必要な措置を講じることは、安全保障政策の重要な要素となっています。
ただし、国家の権限が拡大するほど、その行使に対する適切な監督も必要になります。
攻撃への迅速な対応、国民の権利の保護、国際法の遵守という複数の要請を両立させなければなりません。
今後は制度の運用実績を踏まえ、実効性と透明性をどのように確保するかが問われることになります。
結論
2026年10月に施行された能動的サイバー防御制度は、日本のサイバーセキュリティー政策を大きく変える可能性があります。
従来の防御では、企業や政府機関が自らのシステムへの侵入を防ぐことが中心でした。
これに対し、能動的サイバー防御では、攻撃の兆候を早期に把握し、一定の要件の下で攻撃元の機能を無害化することが可能になりました。
しかし、政府による無害化措置には、重大性や緊急性などの判断、第三者への影響、国際法上の制約、通信の秘密の保護など、多くの課題があります。
今回のGMOによる緊急要請は、民間企業のサイバー攻撃被害に政府がどこまで関与すべきかという問題を浮き彫りにしました。
重要なのは、政府がすべての企業のサイバー攻撃を防いでくれると考えないことです。
企業には、自らのシステムを守る責任があり、政府には社会全体に重大な影響を及ぼす攻撃に対処する役割があります。
今後は、政府と企業が攻撃情報を共有し、それぞれの役割を果たしながら被害を防ぐ体制を構築することが求められます。
能動的サイバー防御は、単なる新しい情報技術の導入ではありません。
デジタル社会において国家と企業がどのように安全を確保するかという、安全保障政策と企業経営の双方に関わる重要な制度改革なのです。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」
内閣官房 2025年「能動的サイバー防御に関する制度整備」
内閣官房 国家サイバー統括室「サイバー対処能力強化法及び同整備法」