2026年8月26日、ドナルド・トランプ大統領が、アメリカの電力インフラを狙うサイバー攻撃を「国家非常事態」と位置づける大統領令に署名した。指定した外国がかかわって設計・製造された電力設備を、アメリカ国内で取得したり設置したりすることを原則として禁止する、かなり踏み込んだ内容だ。
きっかけは「設備にバックドア（不正な遠隔操作のための裏口）が仕込まれ、外国から遠隔でインフラを止められるかもしれない」という懸念だ。ではわが国はどうなのか。通信キャリアや電力、水道、鉄道は外国製機器にどこまで依存しているのか。感情論ではなく、確認できる事実からIT小僧が整理していく。
■ 事実確認：この大統領令が禁じたのは「電力」であって「通信」ではない
今回の大統領令14420号が直接の対象にしたのは、送電網など「電力設備」である。携帯電話網の通信機器そのものを新たに禁じたわけではない。アメリカは通信分野については、すでに別の枠組みで中国大手ベンダーの排除を進めてきた。今回はそこに、社会のあらゆる機能を支える「電力」という急所を明確に加えた、と読むのが正確だ。この記事では、その考え方を日本の通信と電力・水道・鉄道に当てはめて検証する。
大統領令14420号は何を禁じたのか
大統領令は、国際緊急経済権限法という強い権限にもとづき、電力系統向けの設備をめぐる状況を「異常かつ重大な脅威」と認定して国家非常事態を宣言した。そのうえで、アメリカの武器禁輸や制裁の対象となっている国、あるいは国家安全保障上有害と判断された国・企業（大統領令では「対象外国企業」と呼ぶ）がかかわる電力設備について、取得・輸入・移転・設置といった取引を原則として禁止する。
対象は変圧器や大型のコンデンサー、蓄電システム、そして発電所や変電所を動かす制御機器など幅広い。さらに、それらに付随するソフトウェアやファームウェア、遠隔保守やデジタルサービスも範囲に含まれる。すでに設置済みの機器についても、隔離・監視・切り離し・交換を命じられる余地がある点が、単なる新規調達規制にとどまらない厳しさだ。実務のルールづくりはエネルギー省が担い、大統領令署名から120日以内に規則を整備するとされている。
なぜ「バックドア」がそこまで怖いのか
怖さの正体は、狙われるのが情報系（アイティー）ではなく制御系（オーティー、機械を実際に動かす運用技術）だという点にある。普段イメージするサイバー攻撃は、情報が盗まれる、画面が使えなくなる、といった被害だ。しかし発電所や変電所、浄水場、鉄道の信号を動かしているのは現場の制御機器である。ここに裏口があれば、外国から遠隔で物理的にインフラを止める、危険な動作をさせるといったことが理屈のうえでは可能になる。
しかも制御系の機器は一度入れると10年、20年と使い続ける。導入時に裏口が仕込まれていれば、その脅威は設備の寿命が尽きるまで居座る。「外国製設備を使い続けること自体がサプライチェーン上のリスクになる」という大統領令の指摘は、この長期性を踏まえたものだ。
IT小僧コラム 防御は精神論ではなく「設計」だ
金融システムやプラント制御の世界には、昔から効く三つの原則がある。一つ目は障害の切り分け（フォールト・アイソレーション）。一区画が落ちても全体に波及しない構造にする。二つ目は最小権限。機器やアカウントに必要最小限の権限しか与えず、遠隔で全系統を操作できる裏口など作らせない。三つ目は監査ログ。誰がいつ何をしたかを後から追える形で残す。
バックドアが厄介なのは、この三原則をまとめて無効化するからだ。外国製かどうかという論争の本質は、産地への感情ではなく、この設計が守られているかどうかにある。産地を問う前に、まず自分たちの設計を問うべきなのだ。
日本の通信キャリアは中国製機器を使っているのか
結論から言うと、基幹となる通信網については、大手キャリアは中国大手ベンダーの機器を実質的に外している。転機は2018年12月だ。政府は情報通信機器の調達に関する申し合わせを決め、各府省庁や自衛隊が使う機器から、安全保障上の懸念がある製品を事実上排除する方針を固めた。名指しはしないものの、中国大手のHuaweiとZTEが対象になるとされた。
この方針は政府調達だけでなく、電力や鉄道、金融などの重要インフラ14分野にも「懸念のある機器を調達しないように」と促す形で広がった。翌年以降の5G周波数の割り当てでは、サプライチェーン上のリスク対策を講じることが免許の条件に付され、大手各社は5G基地局に中国製を使わない方向で足並みをそろえた。
| 事業者 | 基幹網（5G基地局など）での中国製通信機器の採用状況 |
| ドコモ | 主要ベンダーは非中国系。中国大手の採用は確認されていない。 |
| KDDI | 同じく非中国系ベンダーが中心。中国大手の採用は確認されていない。 |
| ソフトバンク | 過去の世代では中国大手2社の機器を一部採用していた。5Gでは他社同様に採用を見送り、旧世代機器の入れ替えを進めた。 |
| 楽天モバイル | 仮想化を軸にした構成を採用。無線装置は非中国系ベンダーを中心にしている。 |
■ 事実確認：混同しやすい「基幹網」と「手元の端末」
政府調達と大手キャリアの5G基地局から中国大手ベンダーが実質的に外れている、という点は各種報道と政府の運用から確認できる。
一方で、個人向けのスマートフォンやルーターなど消費者向け製品は、今も国内で普通に流通している。国家安全保障の文脈で問題になるのは前者の「基幹網」であり、両者は分けて考える必要がある。
電力・水道・鉄道はどう守られているのか
通信以外のインフラは、経済安全保障推進法（2022年成立）にもとづく制度が動いている。電気・ガス・石油・水道・鉄道・航空・空港・電気通信・放送・金融など15分野を「特定社会基盤事業」に指定し、そこで使う重要設備を導入する前に政府が事前審査する仕組みだ。
審査は2024年5月17日から本格運用に入っている。対象となる事業者は、設備を入れる前に、その設備をつくったベンダーや委託先の企業、役員の国籍といった情報を提出し、サイバー対策や物理対策とあわせて審査を受ける。ここを通過できなければ、その設備は導入できない。アメリカのように名指しで「この国は禁止」とやる代わりに、日本は「入り口で一件ずつ確認する」方式を選んだ、と理解するとわかりやすい。
◆ 仮説・考察：静かに潜む「事前配置」という脅威像
ボルト・タイフーン（Volt Typhoon）と呼ばれる中国系とされる攻撃グループは、侵入してすぐ破壊するのではなく、電力や水道、交通の制御網に長期間ひそかに潜伏し、有事に備えて「事前配置」しておく手口が各国当局から指摘されている。これはあくまで警告と分析にもとづく脅威像であり、日本国内の特定インフラが現時点で制御を奪われたと確認されたわけではない。ただし、備えるべき相手像としては十分に現実的で、比較的手薄になりがちな地方インフラこそ狙われやすいという指摘もある。
日本の「反撃力」 能動的サイバー防御法
日本は守るだけでなく、攻撃に先回りする体制づくりにも踏み込んだ。2025年5月16日に成立した、通称「能動的サイバー防御法」（正式には重要電子計算機に対する不正な行為による被害の防止に関する法律ほか）だ。大きく、官民連携の強化、通信情報の活用、侵入して攻撃基盤を無害化する権限、体制整備の四つの柱からなる。
この法律により、電気・ガス・水道・金融・物流といった基幹インフラ事業者は、重大なサイバー攻撃を受けた際の政府への報告が義務づけられる。政府は集めた情報を分析し、被害拡大を防ぐための情報を事業者に返す。施行は2026年から段階的に進み、官民連携の部分は2026年10月に始まる予定だ。欧米並みの対応能力を目指す、日本のサイバー防御の大きな転換点である。
日米の違いを整理する
| 観点 | アメリカ（大統領令14420号） | 日本（現行の枠組み） |
| 主な対象 | 送電網などの電力設備 | 電気・通信・鉄道・水道など15分野の重要設備 |
| 手法 | 取引の原則禁止。既設機器の隔離や交換命令も可能 | 導入前の事前審査と、攻撃時のインシデント報告義務 |
| 相手の指定 | 制裁対象国などを対象外国企業として指定 | 特定の国を名指ししない運用が基本 |
| 執行の強さ | 大統領令による強い強制力 | 届出と審査を中心に段階的に強化 |
アメリカは「禁止」という強い一手で既設機器の交換まで踏み込む。日本は「事前審査」と「報告義務」を組み合わせ、名指しを避けつつ実質的に締め出す。外交摩擦を抑えたい日本らしいやり方だが、その分スピードと強制力では見劣りする、という評価も成り立つ。
まとめ 日本のインフラは「大丈夫」なのか
冒頭の問いに答えるなら、「基幹網からの中国製排除と、事前審査・報告義務という制度の骨格はできた。ただし動き出したばかりで、実効性はこれから問われる」というのが公平なところだ。通信の基幹網は整理が進み、電力・水道・鉄道も制度が整って、能動的サイバー防御法という新しい武器も手に入れた。
一方で、地方の小規模なインフラや、長く使われ続ける古い制御機器という弱点は残る。産地を締め出すだけでは足りない。誰がどの権限で何をしたかを追える設計に作り替えること、これが結局いちばん確実な防御になる。アメリカの大統領令は他人事ではなく、日本が自分の急所を点検する良い機会だと、IT小僧は考えている。
出典：ホワイトハウス大統領令14420号、総務省、内閣官房ほか公表資料および各種報道にもとづく。制度の詳細は今後の政省令で変わる可能性がある。