能動的サイバー防御が10月1日に始動――攻撃元サーバーの「無害化」と報告義務で何が変わり、何がまだ変わらないのか

2026年10月1日

能動的サイバー防御が10月1日に始動――攻撃元サーバーの「無害化」と報告義務で何が変わり、何がまだ変わらないのか

2026年10月1日、政府は「能動的サイバー防御」の運用を始めました。根拠になるのは、サイバー対処能力強化法と同整備法です。政府機関や重要インフラへの重大な攻撃を確認したとき、警察と自衛隊が攻撃元のサーバーに入り込み、不正プログラムを消すなどして「無害化」できるようになりました。

一方で、制度の柱の一つである政府による通信情報の取得・分析は、今日の時点ではまだ始まっていません。施行は2027年11月22日までとされています。

今日から実際に動くのは、主に次の2つです。

無害化措置という新しい対処手段
電力・通信・金融など基幹インフラ事業者のインシデント報告義務

電気・通信・金融を使うすべての人に関係する制度ですが、直接の負担がまず生じるのは事業者と、その取引先のIT担当者です。

この記事の要点

10月1日に本則が施行され、警察・自衛隊が攻撃元サーバーを無害化できるようになった。原則として独立機関の事前承認が必要
15分野・約260の基幹インフラ事業者に、サイバー攻撃を認知した際の報告義務が課された。速報のあと30日以内に詳報。報告を怠れば罰金200万円以下
通信情報の取得はまだ施行されていない。プライバシーをめぐる本格的な論点は、ここから先の運用で問われる
生活者への影響は「停電や決済停止のリスクが下がるか」で測るべきで、成果は報告件数や対処事例の公表で確かめるしかない

10月1日に何が始まったのか

制度は段階的に施行されています。今日始まったのは「本則」と呼ばれる中心部分です。時系列で並べると、どこまで進んだかが見えます。

時期	施行内容
2025年5月	法成立（16日）・公布（23日）
2025年7月1日	総則など一部施行
2026年3月	施行日を10月1日とする政令を閣議決定（17日）・公布（23日）
2026年4月1日	サイバー通信情報監理委員会を設置
2026年10月1日	本則施行：無害化措置、インシデント報告義務、官民協議会
2027年11月22日まで	通信情報の取得に関する規定を施行予定

無害化措置：対処の選択肢が1つ増えた

これまで政府がサイバー攻撃に打てる手は、注意喚起、攻撃に使われたサイトの削除要請（テイクダウン）、攻撃者を特定して公表すること（アトリビューション）が中心でした。今日からはこれに加えて、攻撃元のサーバーにアクセスし、不正プログラムを消したり、攻撃者が使えないよう設定を変えたりできます。

手続きには歯止めがかかっています。

原則として、独立機関である「サイバー通信情報監理委員会」の事前承認が必要
国外にあるサーバーへの措置は警察庁の執行官に限られ、外務大臣との協議が義務づけられている

国外サーバーへの措置に外務大臣が関わる点は、外交と国内制度の接点です。攻撃の踏み台は海外に置かれることが多く、相手国の主権との関係をどう整理するかが、運用上の難所になります。高市首相もX（旧Twitter）への投稿で、官民の協力に加え「同志国・同盟国との緊密な連携」が必要だと述べています。

報告義務：基幹インフラ事業者に新たな仕事が生まれる

生活者の目に見えやすいのは、むしろこちらです。対象は経済安全保障推進法で「特定社会基盤事業者」に指定された事業者で、電力・通信・金融など15分野・約260社にのぼります（報道や解説によって257社とも258社ともされています）。

対象事業者が負う義務は2つです。

インシデント報告：攻撃を認知したら速やかに速報し、30日以内に詳報を出す。報告先は所管大臣と内閣総理大臣。10月1日から義務化
資産届出：重要な電子計算機を導入したら、製品名などを届け出る。すでに導入済みの機器は2027年3月までに届け出る

報告対象は、実際に被害が出た事案に限りません。マルウェアの受信、不正アクセスの試み、DoS攻撃、そしてその兆候まで含まれます。期限の起点は攻撃が起きた時点ではなく、事業者が「認知した」時点です。

罰則も定められています。

報告義務違反：200万円以下の罰金
資料提出の拒否：30万円以下の罰金
秘密の漏えい：2年以下の拘禁刑または100万円以下の罰金

あわせて、事業者・自治体・セキュリティベンダーなど約100組織が参加する官民協議会も立ち上がりました。

ここがポイント: 10月1日に始まったのは「無害化」と「報告義務」です。政府が通信情報を取得して攻撃の兆候を探す仕組みは、まだ施行されていません。賛否が最も分かれる部分は、これから運用が始まります。

なぜこの制度が必要とされたのか

背景にあるのは、従来の日本のサイバー対応が「受け身」だったという問題意識です。

攻撃を受けてから被害を調べ、注意を呼びかける。この流れでは、電力網や決済システムが止まるような重大な攻撃を事前に防ぐことはできません。基幹インフラが止まれば、影響は特定の企業にとどまらず、病院、物流、行政サービスにまで連鎖します。

制度上の課題は2つありました。

攻撃元のサーバーに政府がアクセスすることは、不正アクセス禁止法などとの関係で、明確な法的根拠なしには行えなかった
民間インフラ事業者が攻撃を受けても、政府に報告する一律の義務がなく、全体像を把握できなかった

今回の法律は、この2点に法的な根拠を与えたものです。通信情報の分析を担う機関として、情報通信研究機構（NICT）とJPCERTコーディネーションセンターがすでに指定されています。

暮らし・企業・安全保障への影響

影響は立場によってかなり違います。誰がどの場面で関わるのかを分けて見ていきます。

生活者：変化は直接見えにくい

一般の利用者が窓口で何かを求められるわけではありません。期待される効果は、停電、通信障害、ATMや決済の停止といった事態が起きにくくなることです。

ただし、効果は「起きなかった事故」なので、生活者には実感しにくいものです。成果を測るには、政府が報告件数や対処事例をどこまで公表するかが鍵になります。

基幹インフラ事業者と取引先：最初に負担を負う

最も直接的に影響を受けるのは、対象事業者のセキュリティ担当部署です。兆候レベルの事案まで認知し、30日以内に詳報を出すには、監視体制と社内の報告フローを整える必要があります。

見落とされやすいのは、範囲が対象事業者の外まで広がる点です。保護対象の「重要電子計算機」には、ファイアウォール、VPN機器、認証サーバーなどが含まれます。さらに、それらと回線で直接・間接につながる機器も対象に入ります。

システムの保守を請け負う中小のIT企業
子会社や関連会社
クラウドサービスの提供事業者

こうした取引先も、契約の見直しやログの提出を求められる可能性があります。中小企業にとっては、セキュリティ要件の強化が取引を続ける条件になり得ます。

安全保障：防衛と警察の役割分担が実務で試される

安全保障の面では、自衛隊と警察がサイバー空間で実際に対処する権限を持ったことに意味があります。特に、国外サーバーへの対処を警察庁に限り、外務大臣との協議を義務づけた設計は、国際法上の摩擦を抑えるための線引きです。この線引きが実際の攻撃のスピードに追いつけるかどうかは、運用の中で確かめるしかありません。

批判的に見るべき論点

制度の方向性に大きな異論は少ない一方で、設計と運用には確認すべき点が残っています。

監理委員会の独立性と透明性

無害化措置も、将来の通信情報の取得も、歯止めの中心はサイバー通信情報監理委員会です。承認の件数、却下した事例、審査の基準がどこまで国会や国民に報告されるのか。ここが不透明なままだと、制度への信頼は育ちません。

報告義務が「形だけ」にならないか

兆候まで報告対象にすると、事業者からの報告は大量になります。政府側に分析する人員と体制が足りなければ、報告を集めるだけで終わります。事業者に返る情報（他社の被害傾向や攻撃手法など）がなければ、報告は罰則を避けるための作業になってしまいます。

人材と予算の裏付け

警察・自衛隊・国家サイバー統括室のいずれも、高度なサイバー人材を民間と奪い合っています。予算の規模や人員の目標は、今後の予算編成で確認する必要があります。

別の見方とトレードオフ

この制度には、立場によって異なる評価があります。

立場	主な主張	現実的な制約
推進・評価する立場	主要国に比べて遅れていた対処能力をようやく整えた。基幹インフラの防護は国益そのもの	法律ができても、人材と運用の実績がなければ抑止力にならない
慎重・批判的な立場	通信情報の取得は「通信の秘密」と緊張関係にある。政府の監視が広がりかねない	今日の時点で通信情報の取得はまだ施行されておらず、論点の中心はこれからの運用
事業者の実務の立場	趣旨には賛成でも、報告・届出の事務負担が重い	中小の取引先まで含めると、対応コストの負担を誰が担うかが曖昧

対立の軸は「やるか、やらないか」ではありません。どこまでの権限を、どの監視の下で、誰の負担で運用するかです。読者が判断するときも、この3点で見ると整理しやすくなります。

同じ日に出た関連ニュース

10月1日には、ほかにも暮らしと企業に関わる動きがありました。要点だけ押さえておきます。

日銀短観（9月調査）：大企業製造業の業況判断DIはプラス24で、6月調査から2ポイント改善しました。6四半期連続の改善で、約8年半ぶりの高水準です。AI関連の需要が押し上げました。一方、大企業非製造業はプラス35で、宿泊・飲食や小売など個人消費に近い業種では、燃料費や人件費の上昇が重荷になっています。先行きはどちらも足元を下回る見通しです
インボイス制度の経過措置：免税事業者からの仕入れにかかる仕入税額控除の割合が、80%から70%に下がりました。個人事業主向けの「2割特例」は終わり、「3割特例」に移ります。フリーランスと取引する事業者は、価格交渉や取引条件を見直す局面に入ります
カスタマーハラスメント対策の義務化：改正労働施策総合推進法により、事業主にカスハラから従業員を守る体制づくりが義務づけられました

短観で非製造業の先行きが弱く出たことは、サイバー対策の費用負担とも無関係ではありません。コスト増に苦しむ業種ほど、セキュリティ投資を後回しにしがちだからです。

今後の注目点

制度は動き出しましたが、評価できる材料が出そろうのはこれからです。

監理委員会の活動報告：無害化措置の承認件数と、国外サーバーへの措置の有無がどこまで公表されるか
インシデント報告の集計公表：報告件数、分野別の傾向、事業者へ返す情報の中身
資産届出の進み具合：導入済み機器の届出期限である2027年3月までに、どこまで進むか
通信情報の取得規定の施行日：2027年11月22日までのどの時点で施行されるか。その前に運用基準が示されるか
予算と人員：来年度予算の概算要求と編成で、サイバー人材と体制にいくら充てられるか

まとめ

事実として言えること

10月1日、無害化措置、インシデント報告義務、官民協議会が始まった
無害化は原則として監理委員会の事前承認が必要で、国外サーバーへの措置は警察庁に限られ、外務大臣との協議を経る
通信情報の取得は2027年11月22日までに施行される予定で、今日の時点ではまだ始まっていない

見解として言えること

制度の骨格は、事後対応中心だった日本のサイバー防護を前に進めるものだ
実効性は法律の条文ではなく、分析体制、人材、事業者への情報の還元で決まる

残る課題

いちばんの争点は、まだ施行されていない通信情報の取得です。施行までの1年あまりで、監理委員会がどれだけ透明な運用実績を積めるか。それが、通信の秘密との両立について国民が判断する材料になります。

基幹インフラ事業者と取引のある企業は、まず自社の機器が「重要電子計算機」とつながっているかを確認し、契約上の報告ルートを取引先とすり合わせるところから始めることになります。

参照リンク

よかったらシェアしてね！

URLをコピーしました！

URLをコピーしました！