能動的サイバー防御とは？サプライチェーンが直面する課題と企業が取るべき対策

能動的サイバー防御とは？

能動的サイバー防御とは、サイバー攻撃を「受けてから対処する」のではなく、「未然に防ぐ」ことを目指す新たな防御の考え方です。

英語で「Active Cyber Defense（ACD）」と呼ばれ国際的にも取り組みが進められている概念であり、日本では政府が「国家安全保障戦略」（2022年12月閣議決定）に基づき、整理・推進しています。国や重要インフラ、国民の安全を守るため、攻撃の兆候を早期につかみ、被害が広がる前に対処可能な体制を整えることが、その中心的なねらいです。

参考：内閣官房国家安全保障局「国家安全保障戦略（概要）」

なぜ「受動的な防御」には限界があるのか

これまでのサイバー攻撃への対応は、侵入の検知や、被害が起きたあとの対応整備が中心でした。

ただ、このような受動的なアプローチだけでは、攻撃の予兆を早期に把握し、被害が発生する前に対処するうえで限界があり、次のような課題が残りやすくなります。

• 攻撃兆候の把握：平時から攻撃の予兆を監視・確認していなければ、怪しい動きを把握しにくい
• 情報共有：高頻度で発生するサイバー攻撃に対して、民間事業者が得られる情報だけでは対応に限界がある
• 被害の拡大防止：検知後の対応が中心では、影響の抑制につなげにくい

例えば、攻撃者がサプライチェーン上の取引先を踏み台にして数か月かけて侵入を進めるケースでは、正規のアクセスを装っている場合があり、検知が難しくなることが考えられます。

気づいたときには業務システムの停止など、事業活動に大きな影響が発生していた、という事例もあります。

こうした課題を踏まえ、平時から攻撃の予兆を監視・分析し、被害が発生する前に対処する体制の整備や、政府と民間事業者が情報を共有しつつ行う対策が進められています。攻撃を受けてから対応するだけでなく、先手を打って防ぐ考え方へ移行することが、能動的サイバー防御の出発点だと言えます。

能動的サイバー防御の"3つの柱"

能動的サイバー防御は、大きく「官民連携の強化」「通信情報の活用」「技術的対処の整備」という3つの柱で構成されています。いずれも、攻撃の兆候を早い段階で把握し、被害が広がる前に対応するための主要な取り組みです。

1つ目の「官民連携の強化」とは、基幹インフラ事業者など官と民のあいだで、脅威に関する情報を共有できる体制を整えるものです。守秘義務を伴う形で、政府から事業者へ情報が共有される仕組みも設けられます。

2つ目の「通信情報の活用」とは、サイバー攻撃の兆候を早期に把握するため、通信に関する情報を政府が一定の条件のもとで取得・分析できるようにし、攻撃の把握や対処に役立てる取り組みです。ただし、憲法で保障されている「通信の秘密」への配慮が法律上規定されており、対象は外国が関係する通信などに限定されます。独立機関である「サイバー通信情報監理委員会」の関与のもと、機械的な選別を通じて、IPアドレスなど通信の本質的な内容にあたらない情報のみを扱う設計とされています。

そして3つ目の「技術的対処の整備」とは、確認された攻撃元のサーバ等に対し、警察官がアクセスし、無害化する措置を行えるよう、必要な権限と手続きを整えるものです。そのうえで、警察では対処が困難な高度な攻撃については、内閣総理大臣が自衛隊による対処の必要性を認める場合に、防衛大臣を通じた所定の承認手続を経て、自衛官が措置を実施できる枠組みとされています。

能動的サイバー防御では、これら3つの柱により、官民で脅威情報を共有し、通信情報から攻撃の兆候を把握・分析し、必要に応じて攻撃元への技術的対処を行える体制を目指しています。自社が直接の対象でなくても、サプライチェーンを通じて影響が及ぶリスクがあるため、各施策の内容を正しく把握しておくことが大切です。

「サイバー対処能力強化法」が成立した背景

なぜ今、国が主導して、サイバー防御の対応能力を高めようとしているのでしょうか。背景には、主に次の要因があると考えられます。

• 脅威の深刻化：国家を背景としたものを含め、社会インフラや経済活動そのものに影響を及ぼし得る高度なサイバー攻撃への懸念が高まっている
• 重要インフラを守る必要性：電力・情報通信・金融・鉄道をはじめとする社会基盤を守るため、被害が広がる前に攻撃に関する情報を把握し、無害化へつなげる対応が求められている
• 国際的な水準との関係：政府は、日本のサイバー安全保障分野での対応能力を、欧米の主要国と同等以上に向上させる方針を示している
• 官民連携の制度化：民間と政府が情報を共有し、攻撃の未然防止や対処支援を強化するための法的な枠組みが必要とされている

こうした背景を踏まえ、2025年5月に「サイバー対処能力強化法」と「同整備法」が成立・公布されました。なお、強化法は新たに制定された法律で、整備法は警察官職務執行法や自衛隊法など、既存の法律の改正をまとめたものです。

参考：内閣官房国家サイバー統括室「サイバー対処能力強化法及び同整備法について」

最大の目的は"インフラ停止"のリスク回避

この法律の根底にあるのは、サイバー攻撃の巧妙化・深刻化への危機感です。

政府は、重要インフラの機能停止や破壊などを目的とした重大なサイバー攻撃が、安全保障上の大きな懸念になっているとしています。

電力や情報通信、金融、鉄道をはじめとした社会基盤が止まれば、企業活動だけでなく、人々の生活そのものに大きな影響が及びかねません。こうしたリスクに備えるため、被害が起きてからの対応にとどまらず、官民の情報共有や通信情報の活用などを通じて、攻撃の兆候を把握し、被害の未然防止や対処支援を強化する方向が示されています。

こうした方針は、2022年12月に閣議決定された「国家安全保障戦略」に基づいて進められてきたものです。政府は、サイバー安全保障分野での対応能力を欧米の主要国と同等以上に向上させる方針を掲げ、サイバー対処能力の高度化を通じて、重要インフラの停止というリスクを抑える体制づくりを進めています。

能動的サイバー防御が企業に与える影響

ここからは、この「能動的サイバー防御」に関する法律が、実際にどの企業へ、どのような影響を及ぼすのかを具体的に整理してみましょう。

法律上の主な対象は「基幹インフラ事業者」

サイバー対処能力強化法で直接的な義務を負うのは、法律上「特別社会基盤事業者」と呼ばれる事業者です。これは、経済安全保障推進法における「特定社会基盤事業者」の枠組みを踏まえつつ、本法に基づいて指定されるもので、電気・ガス・通信・鉄道・金融・医療など、社会の基盤となる分野の基幹インフラ事業者が対象になると考えられています。

該当する事業者に課されるのは、主に次の2つの義務です。

• 重要なシステム（特定重要電子計算機）を導入・変更する際の届出
• サイバーインシデント（攻撃などの事案）を認知した際の、政府への報告

また、これらの義務に違反した場合の罰則も明確に定められています。

• 届出義務・報告義務の是正命令に従わない場合：200万円以下の罰金
• 資料提出要請への不対応があった場合：30万円以下の罰金
• 協議会構成員による秘密漏えいがあった場合：2年以下の拘禁刑または100万円以下の罰金

つまり、まずは基幹インフラ事業者が直接の対象である、というのが法律の基本的な枠組みです。

加えて、サプライチェーン上の関連企業への影響も？

一方で、法律が直接の義務を課す対象でなくても、影響が及ぶ場面は想定されます。例えば、基幹インフラ事業者と取引のある企業は、その事業者から情報共有や資料提出を求められるケースが考えられます。とりわけ、基幹インフラ事業者のシステム構築・運用・保守を担うITベンダーや委託先は、業務上の立ち位置によって関わり方が変わってくるでしょう。

また、直接の取引がない企業であっても、安全保障上の懸念を生じさせるサイバー攻撃を受けた場合には、政府から情報提供を求められる場面が想定されます。

さらに、有識者会議の提言では、基幹インフラ事業者以外の機微技術を持つ企業や中小企業に対しても、政府が情報共有の枠組みを整備していく方針が示されています。

海外に目を向けると、欧州のNIS2指令は、従来は規制の対象外だった分野や組織にも対象を広げています。また、米国のCIRCIA法は、16の重要インフラ分野の対象事業者にインシデントの報告を義務づけるものです。こうした動向も踏まえると、日本でも同様の方向へ進む可能性はあります。「うちは対象外だから大丈夫」と構えるのではなく、早めに自社の立ち位置を確認しておくことが大切です。

「能動的サイバー防御」の実装に向けて、今企業が準備すべきこと

能動的サイバー防御の動向は、基幹インフラ事業者だけの話ではなく、取引先や委託先にも関わり得るテーマです。では、企業は今何から準備すればよいのでしょうか。

ここでは「ICT基盤の可視化と資産管理」「インシデント対応体制の整備」「ゼロトラスト・アーキテクチャへの移行」という3つの観点から整理します。

1. ICT基盤の可視化と資産管理体制の整備

最初の一歩は、自社のICT基盤や情報資産が、今どのような状態にあるかを把握することです。

まずは、自社が基幹インフラ事業者と業務上どのような接点を持っているかを整理しましょう。そのうえで、自社のシステムのなかに「特定重要電子計算機」に該当する可能性のあるものがあるかを確認しておくと、影響範囲を見通しやすくなります。

あわせて、システムを導入・変更する際の社内フローを整えておくことも重要です。どのシステムを、誰が、どのような手順で変更するのかが明確になっていれば、いざ届出などが必要になった場面でも対応しやすくなります。

また、親会社や委託先など関係する企業との連携も考慮し、契約のなかでセキュリティ面の責任範囲を明確にしておくことも、検討の対象になります。自社がサプライチェーンのどこに位置するかを整理しておくことが、能動的サイバー防御の実装に向けた出発点です。

2. インシデント対応体制の整備

次に整えておきたいのが、サイバーインシデントが起きたときの対応体制です。

まず、インシデント発生時の報告フローを文書として明文化しておきます。どのような事象が報告の対象になるのか、どこに報告するのか、といった判断基準を社内で整理しておくと、いざというときに迷わず動けます。あわせて、経営層を含めた意思決定の体制を整えておくことも重要です。

また、サイバー攻撃の検知・分析・対応を、その場限りではなく継続的に行える運用体制を確立しておくことも求められます。平時から官民連携の枠組みに参加し、情報を共有できる体制を準備することも検討すべきです。

さらに、法律は施行後も見直しや追加の対応が求められる可能性があります。最新の情報を継続的にキャッチアップし、社内での教育を続けていくことも、体制づくりの一部として位置づけておきましょう。

3. ゼロトラスト・アーキテクチャへの移行

3つ目は、ゼロトラストの考え方を取り入れていくことです。

これまで多くの企業では、社内ネットワークの内側を「安全な領域」とみなし、その境界を守るという考え方（境界型の防御）が中心でした。これは長く有効に機能してきた考え方ですが、テレワークやクラウドサービスの利用が広がるなかで、社内と社外の境界そのものがあいまいになり、境界を守るだけでは対応しにくい場面が増えてきています。

そこで広がっているのが、「すべてを信頼しない」という前提に立ち、アクセスのたびに認証・許可を確認し、監視・制御を行うゼロトラストの考え方です。

ゼロトラスト・アーキテクチャとは、ゼロトラストの考え方を、実際のシステムやネットワークの構造・設計に落とし込んだ仕組みです。ひとつの製品で完結するものではなく、端末の監視・検知・対応（EDR）、Webアクセスの制御（SWG）、ID管理（IDaaS）、ネットワークとセキュリティ機能を統合して提供する仕組み（SASE）といった複数の要素を組み合わせて構成されます。自社の環境に合わせて、これらを少しずつ取り入れていくことが、現実的な進め方になるでしょう。

ゼロトラストについては、以下の記事でも詳しく解説しています。
関連記事：ゼロトラストとは？基本概念からメリット・課題までわかりやすく解説

ICT基盤を"一体で見直す"という選択肢

ここまで、能動的サイバー防御の動向を踏まえ、企業が準備すべき方向性として「ICT基盤の可視化」「インシデント対応体制の整備」「ゼロトラスト・アーキテクチャへの移行」という3つを整理してきました。これらは、それぞれ個別の対策として進めることも可能です。一方で、運用の面では互いに関わり合う領域でもあります。

例えば、セキュリティ製品を個別に導入していくと、それぞれの設定・運用・監視を別々に行う構成になりやすいものです。これに対して、ネットワークやクラウド環境と一体で設計することで、状況の可視化や対応の連携がしやすくなる、という考え方もあります。どちらが適しているかは、企業の規模や既存の環境、運用体制によって異なるため、自社に合う形を見極めることが大切です。

こうしたICT基盤を「一体で見直す」という考え方に沿った支援を提供している事業者のひとつが、オプテージです。関西電力グループの通信事業者として、ネットワーク・クラウド・セキュリティをトータルで提供できる体制を整えており、ゼロトラスト・アーキテクチャを構成する各要素（EDR・SWG・IDaaS・SASE）をワンストップで提供しています。

「何から始めればよいかわからない」という場合も、現状把握から始められるアセスメントサービス（無料のセルフチェックを含む）が活用できます。能動的サイバー防御を見据えた準備において、ICT基盤を一体で見直す出発点として選択肢のひとつになるでしょう。

まとめ

能動的サイバー防御は、もはや「知っておくべきテーマ」ではなく、「動き出すべきテーマ」へと変わりつつあるものです。

法律の主な対象は基幹インフラ事業者（特別社会基盤事業者）ですが、サプライチェーン上の取引先や委託先にも影響が及ぶ可能性があります。まずは自社の立ち位置を確認したうえで、準備として「ICT基盤の可視化と資産管理」「インシデント対応体制の整備」「ゼロトラスト・アーキテクチャへの移行」などを計画的に進めていきましょう。

2026年10月、サイバー対処能力強化法及び同整備法が施行されるこの機会に、自社のセキュリティ体制の見直しへ向け、一歩を踏み出してみてください。

◎製品名、会社名等は、各社の商標または登録商標です。