コラム第950号：「能動的サイバー防御と「アクセス・無害化措置」」

第950号コラム：小向　太郎 理事（中央大学　国際情報学部　教授）
題：能動的サイバー防御と「アクセス・無害化措置」

サイバー攻撃の激化と能動的サイバー防御
　企業や組織が大規模なサイバー攻撃を受けたというニュースが相次いでいる。ランサムウェアによる業務停止や情報漏えいなど、その被害は深刻である。攻撃の自動化や高度化にAIが利用されている可能性も指摘されている。もちろん、個々の攻撃にAIが使われたかどうかは慎重に判断する必要があるが、サイバー攻撃への対応がますます難しくなっていることは確かだろう。
　こうしたなか、2026年10月1日に、いわゆる「能動的サイバー防御」に関する法律のうち、官民連携の強化とアクセス・無害化措置に関する規定が施行された。今回の法整備では、官民の情報共有や通信情報の分析を通じて攻撃の兆候を把握し、必要な場合には攻撃に使われるサーバ等へのアクセス・無害化措置を講じることで、重大な被害の発生や拡大を防ぐ仕組みが設けられた。ただし、通信情報の利用に関する制度は、施行時期が異なる。
　10月24日には、GMOインターネット株式会社が、同社の提供する「お名前.com デスクトップクラウド」へのサイバー攻撃を受け、政府関係機関に対して能動的サイバー防御に関する措置の実施を要請すると公表した。同社によれば、不正アクセスと情報の外部流出が確認され、一部の利用者からは取引口座で身に覚えのない取引が行われたとの報告も寄せられていた。
　政府が攻撃に利用されているサーバ等にアクセスし、攻撃を止めることができるようになったのか。民間企業は政府にそのような対応を求めることができるのか。新しい制度の内容を確認してみたい。

重要インフラを守るための制度
　能動的サイバー防御の法整備は、重要インフラ等に対するサイバー攻撃への対処能力の向上を重点としつつ、社会全体のサイバーセキュリティを確保することを目指すものである。電力、通信、金融、交通などの社会基盤が攻撃されれば、被害はその事業者だけにとどまらない。停電、通信障害、物流の停止、決済機能の麻痺などを通じて、社会全体に深刻な影響が及ぶ可能性がある。
　このような事態を防ぐため、2025年に成立したサイバー対処能力強化法とその整備法では、①官民連携の強化、②通信情報の利用、③攻撃に使われるサーバ等へのアクセス・無害化という三つの柱が設けられた。ただし、それぞれの制度が対象とする事業者や攻撃の範囲は、必ずしも同じではない。また、施行時期も異なっている。
　第一の官民連携については、従来の自主的な情報共有を中心とする仕組みに加え、一定の重要インフラ事業者に法的な義務が課されることになった。具体的には、法律上の「特別社会基盤事業者」には、一定の「特定重要電子計算機」を導入した場合の届出や、そのサイバーセキュリティが害された場合などにおける報告が義務付けられる。
　また、従来のサイバーセキュリティ基本法に基づく協議会に代わり、2026年10月1日には、政府と基幹インフラ事業者等を中心とする新たな協議会が始動した。政府が把握した脅威情報の提供も含め、官民の情報を迅速に共有し、対処につなげることが期待されている。
　第二の通信情報の利用は、憲法が保障する「通信の秘密」との関係で、特に慎重な制度設計が求められる分野である。サイバー攻撃の兆候を把握するには、通信先のIPアドレス、通信の時刻、通信に含まれる技術的な特徴などの分析が重要になる。しかし、こうした情報も通信の秘密として保護され得るため、政府が自由に取得・分析できるわけではない。
　新しい法律では、電気通信サービスの利用者との協定に基づき、その利用者を通信の当事者とする通信情報を取得する制度と、一定の要件の下で当事者の同意によらず通信情報を取得する制度が設けられた。前者については、特別社会基盤事業者だけでなく、それ以外の利用者との協定も認められている。
　一方、後者については、国の機関や重要インフラ等の「重要電子計算機」に対する国外の通信設備を介する一定の不正行為による被害の防止という目的上の限定がある。取得・分析の方法や対象は法律で限定されており、通信情報の自動選別や利用目的の制限、独立した監督機関による承認・監督などの仕組みが設けられている。
　ただし、この通信情報の取得・分析に関する制度は、2026年10月1日には施行されていない。政府のスケジュールでは、2027年秋の施行が予定されており、現時点では運用に向けた準備が進められている段階である。

警察によるアクセス・無害化措置は重要インフラに限定されない
　第三の「アクセス・無害化措置」は、2026年10月1日から施行されている。このうち、警察による措置は、重要インフラ事業者に対する攻撃だけを対象とする制度ではない。
　アクセス・無害化措置とは、攻撃に使われるサーバ等に対し、通信回線を介して、その動作に関わる措置を講じるものである。不正プログラムの停止・削除や、攻撃者の再ログインを防ぐ設定変更などが想定される。警察が自ら実施するほか、サーバの管理者等に措置を命じる場合もある。
　警察による措置の中心となる法的根拠は、2025年の法改正で新設された警察官職務執行法6条の2である。同条は、情報技術を用いた不正な行為に使われる通信や電磁的記録等が認められ、放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要がある場合に、警察庁長官が指名する「サイバー危害防止措置執行官」が、法定の手続に従って必要な措置を講じることを認めている。
　ここで注目すべきなのは、保護の対象が重要インフラ事業者に限定されていないことである。一般の民間企業に対する攻撃であっても、重大な危害のおそれや緊急性などの要件を満たせば、措置の対象となり得る。
　もっとも、実施に当たっては、原則としてサイバー通信情報監理委員会の事前承認が必要である。また、対象サーバが国内に設置されていると認める相当な理由がない場合には、措置を実施できるのは警察庁の執行官に限られ、警察庁長官を通じた外務大臣との事前協議も求められる。攻撃に使われるサーバが、侵害された第三者のものである可能性も踏まえ、措置の必要性や影響を慎重に判断することになる。
　なお、「能動的」という言葉から連想されるような、攻撃を受けた企業が相手のサーバに侵入して報復する、いわゆる「ハックバック」が自由に認められたわけではない。新しい制度は、あくまで重大な危害を防止するため、警察等が法定の要件と手続に従って実施するものである。攻撃者への報復ではなく、危険の除去を目的としている。

GMOの要請は何を意味するのか
　では、GMOインターネットによる政府への要請は、どのような意味を持つのだろうか。
　アクセス・無害化措置については、被害組織からの要請を受けて実施を判断するという手続は、法律上設けられていない。GMOの要請は、措置の実施を求める法定の申請手続ではなく、政府に対応の検討を求める任意の申入れと理解できる。要請したことによって政府に措置の実施義務が生じるわけではなく、実施の可否は、あくまで法定の要件に照らして判断される。この点について、木原官房長官も、2026年10月26日の記者会見で、要請の有無にかかわらず、警察又は防衛省・自衛隊が法定要件に照らして適切に判断すると述べている。
　しかし、だからといって、民間企業からの要請に意味がないわけではない。政府が適切に判断するためには、攻撃を受けている企業からの情報が重要だからである。攻撃に関係するIPアドレス、通信ログ、マルウェアの解析結果、侵害されたシステムの状況などは、攻撃基盤の特定や危険性の評価にとって重要な手掛かりとなる。ただし、通信元のIPアドレスが判明したことと、攻撃者自身が特定できたこととは区別しなければならない。
　今後、民間企業から政府に対して、より踏み込んだ対応を求める動きが増える可能性もある。その場合、どのような情報を、どの窓口に、どの程度の緊急性をもって提供するのか。また、政府はその情報をどのように評価し、企業にどこまで結果を伝えるのか。措置の実効性や捜査等のために開示できない情報もあることを踏まえつつ、こうした実務上の仕組みを整えることが課題となるだろう。デジタル・フォレンジックによる正確な事実の把握と記録の保全は、その基盤となる。

政府による対処と企業自身の責任
　最後に強調しておきたいのは、政府がアクセス・無害化措置を実施できるようになったからといって、企業や組織自身のセキュリティ対策の重要性が下がるわけではないということである。
　近年のサイバー攻撃では、未知の脆弱性が悪用されることもある一方、既に対策が知られている脆弱性や不適切な設定が攻撃の入口となる例も少なくない。OSやファームウェアの更新、セキュリティパッチの適用、不要なサービスの停止、アクセス権限の管理、ログの取得・保全といった基本的な対策が、依然として重要なのである。
　この点は、GMOが11月2日に行った記者会見でも重要な論点となった。会見報道によれば、同社側は、2024年にグループ会社からセキュリティ上の課題を指摘され、緊急メンテナンスを実施したものの、対応が十分でなかったと説明した。また、8月に始まった不正侵入を、10月の顧客からの問い合わせまで検知できなかったことや、取締役会に報告する明確な基準が設けられていなかったことも明らかになった。
　ここから考えるべきなのは、対策を実施したことと、安全性が確保されたこととは同じではないという点である。指摘された問題が解消されたかを検証し、残るリスクを把握するとともに、不審なアクセスを継続的に監視する必要がある。重大なリスクを経営層に報告する基準や、改修の優先順位を判断する責任体制も欠かせない。企業のセキュリティは、技術部門だけで完結する課題ではない。
　もちろん、現実にはパッチの適用によって業務システムが停止したり、設定変更が既存の運用に影響したりすることもある。脆弱性の内容によっては、大規模なシステムの改修が必要になる場合もあるだろう。企業ごとにシステムの構成や事業上の制約が異なるため、具体的な対策の選択には難しい判断が伴う。しかし、業務への影響から直ちに抜本的な改修ができない場合にも、代替的な防御措置、監視の強化、改修期限と責任者の明確化などにより、残るリスクを管理する必要がある。
　能動的サイバー防御は、企業のセキュリティ対策を政府が肩代わりする制度ではない。企業には、日頃の脆弱性管理、対策後の検証、侵入の監視、インシデント発生時の正確な調査と情報共有が求められる。政府は、法定の要件と手続に従い、重大な危害の防止に必要な措置を判断する。新しい制度の実効性は、政府の権限だけでなく、企業がリスクを把握し、対処し、共有する体制にも支えられている。

※著作権は、小向氏に属します。
※本稿は筆者の見解であり、IDFの見解を示すものではありません。