能動的サイバー防御とは？仕組み・対象・注意点を2026年の施行状況から解説

結論：能動的サイバー防御とは、重大なサイバー攻撃を受けてから復旧するだけでなく、官民で情報を集めて兆候を早く捉え、重要システムへの被害を防ぎ、必要な場合には攻撃に使われるサーバー等を無害化するための枠組みです。日本では関連法が段階的に施行され、2026年10月24日時点では官民連携とアクセス・無害化の制度が始まっています。通信情報を利用する制度はまだ全面施行前で、2027年11月までに施行される予定です。

ネットワーク状況を映す複数のモニターを確認するセキュリティ担当者 — ネットワーク状況を確認する担当者。制度の実際の運用場所や、特定の攻撃事案を撮影した写真ではありません。

能動的サイバー防御とは

従来の対策は、ファイアウォールや認証で侵入を防ぎ、侵入が起きたら検知・復旧することが中心でした。能動的サイバー防御は、攻撃が重要な情報システムに被害を及ぼす前の兆候を把握し、攻撃の拡大や社会インフラの停止を防ぐことを目指します。日本の制度は、2025年5月に成立・公布された「重要電子計算機に対する不正な行為による被害の防止に関する法律」（通称、サイバー対処能力強化法）と、関連法を整える法律を土台にしています。

名前に「能動的」とありますが、民間企業や個人が攻撃者のサーバーへ勝手に侵入して反撃できるという意味ではありません。制度の中心は、国が定められた条件と権限の範囲で防御を行い、民間の重要インフラ事業者などと情報を共有することです。

制度を支える三つの仕組み

1. 重要インフラ事業者との情報共有

特定社会基盤事業者のうち、法律や政令で定める重要な電子計算機を使う事業者は、対象機器の製品名・製造者名などを届け出ます。また、対象システムが不正行為の被害を受けた場合や、原因となり得る事象を認知した場合には、所管大臣と内閣総理大臣への報告が必要です。政府は集まった情報を整理・分析し、被害防止に役立つ情報を関係機関や事業者へ提供します。

たとえば、電力や通信などのサービスを支えるシステムで不審な侵入が見つかれば、報告を受けた政府が関連する兆候や弱点を分析し、同じ手口への注意喚起につなげる、という流れです。報告義務が一律にすべての会社へ課されたわけではありません。自社が対象事業者か、どの機器が対象かは、事業区分と政令・省令を照らして確認してください。

2. 通信情報から攻撃の兆候を分析

攻撃の予兆を調べるため、法律は一定の国外通信に関する情報を取得・分析する仕組みも定めています。ここでいう情報には、通信元・通信先のIPアドレスや通信日時などの履歴、機器への指令情報といった技術的な情報が含まれます。単に「通信内容は一切対象にならない」と言い切るのも正確ではありません。制度によっては通信情報を取得した後、自動的に選別し、調査対象の攻撃に関係する機械的情報を残す仕組みです。選別されなかった情報は消去し、個人を識別できるおそれのある情報には非識別化措置を講じることが法律に定められています。

この仕組みは2026年10月24日時点で全面施行されていません。法律は施行期限を2027年11月までとしており、運用開始に向けた準備が続いています。実際にどの通信が対象となるのか、選別条件が適切か、個人の権利が十分に守られるかは、今後公表される運用文書や監督状況も含めて確認する必要があります。

3. 攻撃に使われる機器へのアクセス・無害化

攻撃を発信する機器や、攻撃に関係するサーバー等について、危害を防ぐために通常必要な措置を取る仕組みが2026年10月1日に施行されました。警察は、法律上の緊急性などの要件を満たす場合、原則として独立機関であるサイバー通信情報監理委員会の承認を得て、機器の管理者などへ措置を求めたり、自ら措置したりできます。自衛隊の関与にも、重要システムへの攻撃の性質や特別な必要性など、別途法律で定めた条件があります。

これは「怪しいIPアドレスを見つけたら無条件で攻撃する」制度ではありません。共有サーバーや、第三者に乗っ取られた機器が攻撃経路に使われることもあるため、誤認や巻き添えを避ける判断が重要です。攻撃元が国外にある場合には、外務大臣との協議など国際法上の確認も関わります。民間の利用者が自分で相手の機器へ侵入して対抗することは許されません。

2026年10月時点の施行状況

時期	動き
2025年7月1日	新たな政府の組織・体制に関する規定が施行。
2026年10月1日	対象インフラ事業者の資産届出・インシデント報告、官民協議会などの情報共有、アクセス・無害化措置に関する規定が施行。
2027年11月まで	通信情報の取得・利用などに関する規定を施行する期限。2026年10月時点では準備段階。

したがって、「能動的サイバー防御がすべて一斉に始まった」と理解するのは早計です。どの制度が動いているかは施行日ごとに分かれます。制度の更新を追う場合は、ニュース記事の見出しだけでなく、国家サイバー統括室の公表資料にある日付と対象範囲を確認しましょう。

企業や個人は何を確認すればよいか

関連検索にGMOインターネットグループや「お名前.com デスクトップクラウド」などの名前が表示されても、それだけで当該サービスや利用企業が法律上の指定対象だとは判断できません。対象は事業者の指定や、重要設備に関係する機器の条件で決まります。クラウドやVPSを使う企業は、まず契約上どこまでを自社が管理するかを整理し、OS・ソフトの更新、管理者アカウントの多要素認証、バックアップ、ログ保管を確認してください。法令上の報告義務があるかは、サービス名だけで推測せず、所管省庁や専門家へ確認するのが確実です。

一般の家庭利用者に、能動的サイバー防御法に基づく個別の資産届出や報告が一律に求められているわけではありません。一方で、個人が使う端末やアカウントの安全対策は引き続き必要です。スマートフォンやパソコンを更新し、使い回しのないパスワードと多要素認証を設定し、重要データは別の場所にもバックアップしましょう。政府の制度が整っても、盗まれた認証情報や古いソフトウェアから起こる被害まで自動で防げるわけではありません。

よくある誤解と注意点

「政府があらゆる通信を常時読める」：法律は対象と目的を限定し、通信情報の取得・選別・保管に条件を設けています。自動選別、消去、非識別化、独立機関の承認・検査や国会への報告が定められています。ただし制度の存在だけで懸念が消えるわけではないため、具体的な運用と監督の公表を見て評価してください。
「企業は何もしなくてよい」：対象外の企業にも既存の個人情報保護法や業法、契約上の義務が関係する場合があります。適用される報告先・期限は事故の内容ごとに異なるため、インシデント対応計画に窓口と初動手順を記載しておくと安心です。
「制度があれば攻撃被害はなくなる」：新制度は早期発見と被害抑止の能力を高めるもので、完全な防御を保証しません。バックアップからの復旧訓練、連絡網、委託先を含む資産管理は、各組織が続ける必要があります。

まずは自分の立場を確認

事業者は「自社が特別社会基盤事業者か」「対象となる重要電子計算機を持つか」「報告が必要な事象を誰が判定するか」の三点を確認します。一般利用者は制度による新しい個別手続きがないかを公的な案内で確かめたうえで、端末更新・多要素認証・バックアップを見直してください。制度の正確な範囲は法令や運用命令の改正で変わり得るため、以下の一次資料は確認日と版を見て参照しましょう。