能動的サイバー防御とは？GMO要請で見えた「国は動いてくれるのか」の答え

2026年10月1日、いわゆる「能動的サイバー防御」の制度が動き出しました。そして10月24日、大手インターネット企業が政府にその適用を緊急要請し、一気に現実味のある話になりました。

「うちみたいな中小企業には関係ない」と思われるかもしれません。半分は正解で、半分は不正解です。制度の中身と限界、そして明日から社内でできることを、できるだけ具体的に整理します。

1. 能動的サイバー防御とは、どのようなものなのか

まず大前提として、「能動的サイバー防御」は法律の名前ではありません。政策の呼び名です。実際に成立したのは、サイバー対処能力強化法（正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」・令和7年法律第42号）と、その施行に伴う整備法（同第43号）の2本です。

どちらも2025年5月16日に成立、5月23日に公布されました。出発点は2022年12月に閣議決定された国家安全保障戦略です。従来は「攻撃を受けてから対応する」受動的な防御でしたが、被害が出る前の段階で国が動けるようにする、という転換がねらいです。中身は大きく3本柱に分かれます。

2026年4月には独立機関の「サイバー通信情報監理委員会」が設置され、10月1日には通信・交通・エネルギー・金融などの事業者を中心に約100組織による協議会が立ち上がりました。届出や報告の義務がかかるのは基幹インフラ15分野のうち政令の基準を超える事業者で、数としては260弱と見られています。

2. 企業が求めれば、国は動いてくれるのか

ここが一番誤解されているところです。結論から言うと、被害を受けた企業が無害化措置を申請する手続きは、法律のどこにも書かれていません。

無害化に関する条文で「要請」が出てくるのは、自衛隊が動くために必要な国家公安委員会からの要請（または同意）と、在日米軍の機器を守る場合の米軍側からの要請だけ。民間からの申請窓口という発想自体が、制度に組み込まれていないのです。

実施の形はこうです。原則として警察が行い、根拠は警察官職務執行法に新設された第6条の2。国外に置かれた機器が対象なら、実施できるのは警察庁の執行官に限られ、外務大臣との事前協議が義務づけられます。さらに原則として監理委員会の事前承認が要ります。急ぎで承認を待てない場合も「事後承認」ではなく「事後通知」で、委員会は必要に応じて勧告を出します。

自衛隊が担う「通信防護措置」は条件がさらに厳しく、本邦外の者による特に高度に組織的かつ計画的な攻撃であること、自衛隊が加わる特別の必要があること、国家公安委員会の要請または同意があること、そのうえで内閣総理大臣の命令があること。警察との共同で実施されます。

3. 能動的サイバー防御でハッキングは止まるのか

正直に言えば、止まりません。正確には「ある攻撃基盤の一部を一時的に使えなくできる」制度です。期待値を正しく置いておきましょう。

無害化の相手は、多くの場合「乗っ取られた踏み台」です。つまり被害者側の機器でもある。だからこそ慎重な手続きが積み上がっているのですが、その分、動くまでに時間がかかります。攻撃者は基盤を別のところに作り直すだけ、という現実も残ります。

国が動いても、自社のサーバーに置かれた不正なプログラムが消えるわけではありません。そこは今までどおり、自分たちの仕事です。

4. 国家安全保障会議（NSC・エヌエスシー）とは

国家安全保障会議は、外交・防衛・経済安全保障にまたがる重要事項を審議する、内閣に置かれた会議体です。2013年12月に発足し、米国の同名組織をモデルにしたことから「日本版エヌエスシー」とも呼ばれます。会議体は3種類あります。

• 四大臣会合…内閣総理大臣、内閣官房長官、外務大臣、防衛大臣。機動的に方針を決める中核
• 九大臣会合…上記に財務、総務、経済産業、国土交通の各大臣と国家公安委員長を加えた構成
• 緊急事態大臣会合…重大緊急事態への対処を議論する場

事務局は内閣官房の国家安全保障局（エヌエスエス）です。この会議は2025年12月26日に「アクセス・無害化措置の運用に関する指針」を決定しており、国外の機器を対象とする場合などには、ここで対処方針が審議されます。無害化は現場の判断で始まるものではなく、国の意思決定の階段を上がってから実行される設計です。

5. あの緊急要請は、どのように処理されるのか

2026年10月24日、大手インターネット企業のグループが、自社の被害を受けて政府に能動的サイバー防御の適用を緊急要請したと発表しました。同社は「発動第1号」の要請になると説明しています。

発端は10月20日。自動売買に使う仮想専用サーバー（ブイピーエス）のサービスで、一部のサーバーに不正なプログラムが置かれているのが確認されました。影響の可能性があるサーバーは約2万6700件。保存されていた取引口座のログイン情報が漏えいしたおそれがあり、利用者からは身に覚えのない取引の報告も出ています。攻撃者とみられる者からの金銭要求と脅迫も公表されました。

では、この要請は受け付けられないのか。門前払いではありません。ただし「申請を受理して審査する」という流れでもない。報道によれば、政府は国家サイバー統括室（エヌシーオー）や関係省庁を通じて被害状況の報告や相談内容を聞き取り、対応を検討するとしています。一方で政府関係者は、個別企業の求めに応じて発動を決める制度ではない、という趣旨のコメントを出しています。整理するとこうです。

• 企業からの情報は、脅威情報としてきちんと受け取られる
• それが「発動」に直結する手続きは存在しない
• 判断基準は被害企業の損害ではなく、国や基幹インフラへの安全保障上の懸念
• 実行するなら監理委員会の承認など、所定の階段を上がる

なお政府は別の動きも見せています。経済産業大臣は10月23日の会見で、所管する情報処理推進機構（アイピーエー）に、攻撃側の視点で弱点を見つける専門家チームを11月中に立ち上げると表明しました。無害化とは別に、守る側の技術力を底上げする流れです。

6. セキュリティ担当者ができること、できることから

義務の対象外でも、やれることはあります。予算ゼロで今週着手できるものから並べました。

相談先については、所轄の警察本部にサイバー犯罪の相談窓口があります。情報処理推進機構にも不正アクセスの届出制度があり、中小企業向けの支援サービスも用意されています。完璧を目指すと何も進みません。上から3つだけでも今月中に終われば、かなり違います。

7. 社内のエンジニアとして、普段から気を付けること

技術よりも、習慣の話になります。

• 気づいたことを記録に残す…「前から危ないと思っていた」は、残っていなければ存在しないのと同じ。日付入りで書いて共有する
• 更新の遅れを可視化する…止められない事情があるなら、理由と暫定策もセットで記録する
• 権限は配らず貸す…期限付きで渡し、期限が来たら戻す。退職者と異動者の棚卸しは定例化する
• 切り離せる構造にしておく…一か所がやられても全部が巻き込まれない。業務を止める判断も事前に握っておく
• 公的な注意喚起を定点で見る…週に一度、決まった曜日に見る。それだけで初動が数日早くなる
• 経営層に数字で話す…止まったら何時間でいくら、を試算しておくと予算の会話が前に進む

そして一番大事なのは、事故が起きたときに「誰かのせい」で終わらせない空気を作っておくこと。報告が遅れる組織は、技術の良し悪し以前に負けます。

まとめ

能動的サイバー防御は、国が攻撃基盤に手を伸ばせるようにした制度です。守ってもらうための窓口ではなく、国全体の防御力を上げるための枠組みと考えるのが実態に近いでしょう。

だとすれば、自社の入口を閉じ、戻せる備えを持ち、気づいたら早く言える組織にしておく。結局そこに戻ってきます。地味ですが、ここが一番効きます。