能動的サイバー防御とは？法律の概要と企業が今すぐ取るべき対応
2025年5月、日本の安全保障政策において歴史的な転換点が訪れました。「サイバー対処能力強化法」および「同整備法」が国会で成立し、長年議論されてきた「能動的サイバー防御」がついに法制度として動き出したのです。
「能動的サイバー防御」という言葉は、ここ数年でメディアに頻繁に登場するようになりました。しかし、その実態について「結局、何が変わるのか」「自社はどう動けばいいのか」が整理できていない担当者も多いのではないでしょうか。
本記事では、制度の基本的な考え方から企業への具体的な影響まで、順を追って解説します。
能動的サイバー防御とは
能動的サイバー防御とは、サイバー攻撃を受けてから対処するのではなく、攻撃が発生する前の段階で脅威を察知・除去する考え方です。英語では「Active Cyber Defense（ACD）」と呼ばれます。
従来のサイバーセキュリティ対策は、ファイアウォールやウイルス対策ソフトによる「壁を作る」発想が中心でした。言わば城に堀を掘り、城壁を高くする守り方です。しかし、現代の攻撃者、特に国家が関与するAPT（Advanced Persistent Threat）グループは、その壁を越えることを前提に動いています。標的型攻撃メールで侵入口を開け、内部ネットワークを数カ月かけて横断し、気づかれないまま重要データを窃取する手口は、もはや珍しくありません。
ここで問題となるのが「気づいた時にはすでに遅い」という構造的欠陥です。サイバーセキュリティ企業のマンディアントが毎年発表している「M-Trends」レポートによると、侵害の初期侵入から発覚までの平均日数（Dwell Time）は近年も数十日単位で推移しており、検知が遅れるほど攻撃者に深く根を張られるリスクが増します。その間、攻撃者は社内のシステムを自由に行き来し、機密情報を持ち出し、バックドアを複数仕込んでいきます。
能動的サイバー防御が解決しようとするのは、まさにこの「後手に回る構造」です。攻撃者のインフラを平時から監視し、悪用が疑われるサーバーを攻撃前に無効化する。攻撃の予兆を察知した段階で先手を打つ。この「受け身から先手へ」という発想の転換が、能動的サイバー防御の核心です。
従来の防御との決定的な違い
従来のサイバー対策と能動的サイバー防御の最大の違いは「対処のタイミング」にあります。従来は攻撃を受けてから被害を封じ込める「インシデントレスポンス」が主体でした。能動的サイバー防御では、攻撃者が動き出す前の段階、脅威インテリジェンスの収集、攻撃インフラの探索、予兆の検知で手を打ちます。
もう一つの違いは「主体」です。従来は各組織が独立して対処していましたが、能動的サイバー防御では政府・通信事業者・重要インフラ企業が連携し、情報を横断的に共有する仕組みが前提となります。個々の組織が気づいていない攻撃も、全体として見れば「点が線になる」ケースがあるからです。
さらに踏み込むと、能動的サイバー防御には「抑止」という側面もあります。攻撃者が「日本を攻撃すれば逆に自分たちのインフラが無効化される」と認識するだけで、攻撃の動機を削ぐ効果が生まれます。軍事における「抑止力」の概念と同じ論理です。守るだけでは抑止にならない。この現実が、多くの国が能動的サイバー防御に踏み切った根本的な理由の一つです。
能動的サイバー防御が求められる背景
国家関与のサイバー攻撃が現実の脅威になった
日本政府がここまで強力な法制度を整備しようとした背景には、国家が関与するサイバー攻撃の深刻化があります。
2023年、JAXAへの不正アクセスが明らかになりました。翌2024年には内閣サイバーセキュリティセンター（NISC）のメール関連システムへの侵害が発覚し、9カ月にわたって内部データが漏えいしていた可能性が報じられました。これらの攻撃には、中国系とされるAPT40グループの関与が疑われています。
さらに2024年、警察庁と内閣サイバーセキュリティセンターは合同で、北朝鮮のサイバー攻撃グループ「Lazarus」が国内暗号資産交換業者を標的にしているとして注意喚起を行いました。被害総額は複数の事案を合計すると数百億円規模に上るとされています。
こうした攻撃の特徴は、目的が金銭ではなく情報収集・妨害工作である点です。電力・水道・通信・金融といった社会インフラの制御システムが標的になれば、経済的な損害を超えた国民生活への打撃が生じます。安全保障上の脅威として捉えるのは、もはや大げさではありません。
もう一つ見過ごされやすいのが、「ハイブリッド戦」の文脈です。2022年以降のロシアによるウクライナ侵攻は、物理的な軍事行動とサイバー攻撃が組み合わされた「ハイブリッド戦争」の典型事例として世界に衝撃を与えました。電力網・通信インフラへのサイバー攻撃が、軍事行動の直前・同時並行で行われたことは記憶に新しいところです。台湾海峡をめぐる緊張が続く現在、日本もこのシナリオを現実の脅威として想定せざるを得ない状況にあります。
「防御する側の法制度の整備」という国際的な潮流
日本より先に、欧米主要国はすでに能動的サイバー防御の制度化を進めています。
米国では国防総省が「Defend Forward（前方防衛）」戦略を採用し、海外ネットワーク上の敵対的なインフラに対して積極的に介入できる権限を持っています。2020年の米大統領選前には、ロシアのサイバー部隊のネットワークを一時的に遮断したと報告されています。英国も2022年のサイバー戦略で「攻撃的サイバー能力」の活用を明示しました。
EUでは2023年に施行されたNIS2指令により、重要インフラ事業者に対するセキュリティ要件とインシデント報告義務が大幅に強化されました。対象範囲も旧指令から大きく拡大され、製造業・郵便・廃棄物管理まで含まれるようになっています。日本のサイバー対処能力強化法は、こうした国際標準に追いつくための制度整備という側面も持っています。
日本がこうした国際的な枠組みに参加できなければ、集団安全保障体制の中で「情報共有できないパートナー」とみなされるリスクもあります。能動的サイバー防御の整備は、純粋に国内防衛の問題だけでなく、外交・同盟関係とも密接に絡んでいる点が見落とされがちです。
サイバー対処能力強化法の概要と3つの柱
2025年5月に成立した「重要電子計算機に対する不正な行為による被害の防止に関する法律（サイバー対処能力強化法）」は、能動的サイバー防御を実現するための根拠法です。同法は大きく3つの柱から構成されています。
第1の柱：官民連携の強化
法律の中核をなすのが、政府と民間事業者の情報共有体制の構築です。具体的には、内閣官房に新設される「サイバー安全保障統括機関」が司令塔となり、通信事業者・重要インフラ事業者・セキュリティベンダーと脅威情報を双方向でやり取りする仕組みが整備されます。
重要なのは「双方向」という点です。従来は政府からの注意喚起が主体でしたが、新制度では民間が察知した攻撃情報を政府が集約・分析し、他の事業者にフィードバックするサイクルが想定されています。一社が受けた攻撃の情報が横展開されることで、同じ手口による他社への被害を未然に防ぐ効果が期待されます。
ここで参考になるのが、米国のISAC（Information Sharing and Analysis Center）の仕組みです。金融・電力・医療など業界ごとにISACが設置され、脅威情報がリアルタイムで業界内に共有されています。日本でも金融ISACや電力ISACは存在しますが、政府との連携や横断的な情報共有という点では、今後の制度整備が必要な段階です。サイバー対処能力強化法はこの空白を埋めることを目指しています。
第2の柱：通信情報の利用
攻撃の予兆を察知するために、電気通信事業者が保有する通信情報（主にメタデータ、つまり「誰がいつどこに通信したか」という情報）を政府が活用できる枠組みが設けられます。
ここでプライバシーとの衝突が懸念されるのは当然です。法律の審議過程でも、「通信の秘密」を保障する憲法21条との整合性が議論の焦点となりました。成立した法律では、対象を安全保障上の脅威に関わる通信に限定し、独立した第三者機関による監視を義務付けるなど、一定の歯止めが設けられています。
ただし、「メタデータだから内容は見ていない」という説明をそのまま受け取るのは注意が必要です。通信の宛先・時刻・頻度だけでも、誰がどこと繋がっているかを解析できます。米国NSAのメタデータ収集プログラムが問題視されたように、メタデータは「無害な情報」ではありません。制度設計の詳細が今後の政省令に委ねられている部分も多く、その内容を継続的に確認することが重要です。
第3の柱：アクセス・無害化措置
3つの柱の中で最もインパクトが大きく、議論も集中したのが「アクセス・無害化措置」です。
これは、サイバー攻撃に悪用されている、あるいは悪用が強く疑われるサーバーに政府が積極的にアクセスし、攻撃能力を無効化できるという権限です。これまで不正アクセス禁止法が障壁となっていた「攻撃元への反撃」が、一定の条件下で合法的に行えるようになります。
ただし「攻撃元への反撃」という表現には注意が必要です。多くのサイバー攻撃では、攻撃者は第三者のサーバーを踏み台として利用します。無害化の対象となるのは「攻撃者のサーバー」ではなく「攻撃に悪用されているサーバー」であるケースが多く、その所有者が無関係の企業や個人である場合もあります。
実務的に重要な点を補足すると、自社のサーバーが「踏み台」として悪用されている場合、政府の無害化措置の対象になりうる、ということです。知らないうちに攻撃に加担させられていた自社システムが、突然政府からアクセスを受けるシナリオも法律上は想定されています。こうした事態に備え、自社システムが踏み台化されていないかを定期的に確認するセキュリティ監視の重要性は、法施行後にさらに高まります。
法律の対象となる企業の範囲
「自社は関係ない」と判断するのは早計かもしれません。サイバー対処能力強化法は、段階的に対象を広げる設計になっています。
直接対象となる主な事業者は、電力・ガス・水道・鉄道・航空・通信・放送・金融などの基幹インフラ事業者、防衛・宇宙・半導体などの重要産業に関わる事業者、そして政府や自治体のシステムを受託・運用するITベンダー・クラウド事業者です。
ここで見落とされがちなのが、「サプライチェーン経由の対象化」です。基幹インフラ事業者と取引関係にある中小企業も、セキュリティ要件の遵守を求められる可能性があります。製造業で言えば、大手自動車メーカーがTier1・Tier2サプライヤーにセキュリティ基準を課すのと同じ構造です。
実際、防衛省はすでに「防衛産業サイバーセキュリティ基準」を策定し、防衛関連の契約企業に対して一定のセキュリティ水準の達成を求めています。米国の同様の枠組みであるCMMC（サイバーセキュリティ成熟度モデル認証）では、防衛省庁と直接取引のないサプライヤーであっても、Tier1経由で認証が求められるケースがあります。日本の能動的サイバー防御の枠組みも、中長期的には同様の方向に進む可能性が高いと見られています。
法施行後のスケジュールとしては、2027年の本格運用を目指しているとされています。「まだ2年ある」と感じるかもしれませんが、体制整備・規程整備・システム改修を考えると、実務的な準備時間は思いのほか短いのが実情です。
企業に求められる具体的な対応
特定重要電子計算機の届出
法律の対象となる重要なシステム（特定重要電子計算機）を導入・変更した場合、所管省庁への届出が必要となります。対象システムの定義は政省令で詳細が定められますが、基幹インフラの制御システムや大規模な情報処理システムが含まれる見通しです。
「届出」と聞くと形式的な手続きのように感じるかもしれませんが、実態はそうではありません。届出を通じて政府は重要システムの全体像を把握し、脆弱性情報や脅威情報を当該事業者に提供する根拠を持つことになります。企業側にとっても、政府の情報共有ネットワークに組み込まれることで、自社単独では入手困難な脅威インテリジェンスを受け取れるメリットがあります。
インシデント発生時の報告義務
サイバー攻撃を受けた場合、一定の時間内に政府機関へ報告する義務が課せられます。現時点では報告の具体的な期限や様式は政省令で整備される予定ですが、欧州のGDPRやNIS2指令（72時間以内の報告義務）を参照すると、相当の迅速性が求められる可能性が高いです。
対応が遅れた場合や虚偽の報告を行った場合は罰則の対象となります。現場のインシデント対応担当者だけでなく、経営層が報告義務の重さを正確に認識しておく必要があります。
実務上の盲点として、「何をもってインシデントと判断するか」という基準の曖昧さがあります。不審なアクセスログが発見された段階で報告すべきか、実被害が確認されてからか。この判断基準が社内に明文化されていない組織は、法律への対応準備として早急に整備すべきです。「報告すべきか迷っているうちに時間が経過した」という事態は、法的なリスクだけでなく、被害の拡大にも直結します。
セキュリティ体制の継続的な整備
より根本的な対応として、以下の取り組みが求められます。
脅威インテリジェンスの活用： 攻撃の予兆を検知するには、最新の脅威情報（IOC：Indicators of Compromise）を継続的に収集・分析する体制が不可欠です。国内外のCERT、業界ISACからの情報を社内に反映させる仕組みを持っているか、改めて確認が必要です。
サプライチェーン全体でのリスク管理： 自社だけが堅牢なセキュリティを持っていても、取引先が侵害された場合に自社まで被害が及ぶ「サプライチェーン攻撃」への備えが求められます。取引先のセキュリティ評価基準をどう設けるかが、今後の調達・契約管理において重要な検討事項となります。
ログの保存と証跡管理： インシデント報告を的確に行うためには、通信ログ・操作ログを適切な期間保存し、事後的に攻撃の経路を再現できる環境が必要です。ログ管理の基盤が不十分な組織は、早期に整備を検討すべきです。一般的に、セキュリティ監査に耐えうるログ保存期間は最低でも1年、機密性の高いシステムでは3〜5年を推奨する基準が多く見られます。
CSIRT（コンピュータセキュリティインシデント対応チーム）の整備： 能動的サイバー防御の枠組みでは、攻撃情報を受け取るだけでなく、検知・報告・対処を速やかに実行できる体制が前提となります。CSIRTが整備されていない組織では、インシデント発生時に誰が何をするかが不明確になり、報告義務の履行にも支障をきたします。
能動的サイバー防御の課題と懸念点
制度の意義を認めつつも、いくつかの重要な課題を無視することはできません。
誤帰属リスクと無関係の第三者への影響
サイバー攻撃の「帰属（どの国・組織が攻撃したか）」を技術的に確定させることは極めて難しい問題です。攻撃者が複数の国の踏み台サーバーを経由するのは常套手段であり、「攻撃元」と判断されたサーバーが実際には被害者側である可能性は排除できません。
無害化措置の対象に誤りがあれば、関係のない第三国の企業に損害を与え、外交問題に発展するリスクもあります。この点について、政府がどのような技術的基準と法的手続きを設けるかが、制度の信頼性を左右する核心的な問いです。
プライバシーと安全保障のバランス
通信情報の活用については、その範囲と監視体制の設計が今後の焦点となります。「安全保障のため」という大義名分の下で監視が拡大してきた歴史的事例は、国内外を問わず存在します。2013年に発覚した米国NSAによる大規模監視プログラム（PRISM）は、民主主義国家においても監視の歯止めが機能しなくなりうることを示しました。独立した監査機関が実効的に機能するかどうか、市民社会が継続的に目を向けることが重要です。
人材・技術基盤の不足
最も現実的な課題が人材不足です。政府機関が能動的サイバー防御を実行するには、高度な技術を持つサイバーセキュリティ専門家が大量に必要になります。経済産業省の調査では、2030年時点での国内サイバーセキュリティ人材の不足は約11万人に達すると試算されています（経済産業省「IT人材需給に関する調査」）。法律はできても、それを執行する人材がいなければ絵に描いた餅です。
政府が民間の高度人材を採用・活用しようとしても、処遇面での競争力が課題となります。民間のサイバーセキュリティ専門家と公務員の給与格差は大きく、米国のCISAでさえ民間との人材獲得競争に苦慮しています。この構造的な問題は、法律の整備だけでは解決できない部分であり、人材育成・処遇改善・教育投資を含む長期的な政策が不可欠です。
海外の事例から学ぶ官民連携の実際
日本より先に制度整備を進めた国々の事例は、実装上の課題を考えるうえで参考になります。
米国：サイバーセキュリティインシデントの報告義務化
米国では2022年に「重要インフラサイバーインシデント報告法（CIRCIA）」が成立しました。重要インフラ事業者は重大なサイバーインシデントを72時間以内に報告する義務を負います。注目すべきは、法律を機能させるために、報告を受けるCISA（サイバーセキュリティ・インフラストラクチャー安全保障局）が収集した情報を民間にも積極的に還元する体制を整備している点です。報告義務が「罰則のための規制」ではなく「情報共有のエコシステム」として機能しています。
コロニアルパイプライン攻撃が示した教訓
2021年にランサムウェア攻撃を受けた米国の石油パイプライン事業者コロニアル・パイプラインは、操業停止を余儀なくされ、米東海岸で大規模な燃料不足が発生しました。この事件は「インフラへのサイバー攻撃は物理的な被害を引き起こす」ことを世界に示した転換点となりました。
事後の調査で明らかになったのは、攻撃は古いVPNの認証情報流出を起点としていたという単純な侵入経路でした。高度な技術を駆使した攻撃ではなく、基本的なセキュリティ対策の欠如が招いた被害だったことは、多くの組織への示唆を含んでいます。「能動的サイバー防御のような高度な制度を整備する前に、多要素認証の徹底といった基礎対策が先決」という批判もあります。制度の高度化と基礎対策の徹底は、どちらか一方を選ぶものではなく、並行して進めるものです。
ウクライナ：実戦を経て見えてきた官民連携の形
ウクライナのサイバー防衛の経験は、現在進行形の教材として注目されています。2022年のロシアによる侵攻直前から、ウクライナ政府とマイクロソフト・グーグル・アマゾンなどのグローバルテック企業の連携が機能し、政府インフラのクラウド移行やリアルタイムの脅威情報共有が行われました。
特筆すべきは、クラウドへの分散移行によって、物理的なデータセンターへの攻撃が情報インフラ全体の崩壊につながらない体制を構築したことです。「官民連携」を抽象的なスローガンではなく、具体的な技術実装として機能させた事例として、日本の制度設計の参考になります。
能動的サイバー防御に向けて、今企業が動くべき理由
2027年の本格運用まで時間的な猶予はありますが、「法施行後に動けばいい」という姿勢は危険です。理由は二つあります。
一つは攻撃者は法律の施行を待ってくれないことです。法整備の議論が活発になる時期は、攻撃者にとっても制度が固まる前の「駆け込み」期間になりえます。官民連携の枠組みが整う前に被害を受けても、新制度の恩恵は受けられません。
もう一つはセキュリティ体制の整備には相応の時間がかかることです。ログ管理基盤の構築、担当者のトレーニング、インシデント対応規程の整備、サプライチェーンリスクの評価。これらを「法施行後6カ月で仕上げる」ことは、現場の規模によっては現実的ではありません。今から段階的に取り組みを進めることが、結果的にコストと混乱を最小化します。
また、早期に対応することにはポジティブな側面もあります。サプライチェーンのセキュリティ基準が厳格化される中、高いセキュリティ水準を証明できる企業は取引先選定において優位性を持ちます。セキュリティへの投資を「コスト」ではなく「競争力の源泉」と捉える視点が、今後ますます重要になるでしょう。
まとめ
能動的サイバー防御とは、攻撃を受けてから対処するのではなく、攻撃が起きる前の段階で先手を打つサイバーセキュリティの考え方です。2025年5月のサイバー対処能力強化法の成立により、この考え方が法制度として具体化されました。
制度の3つの柱「官民連携の強化」「通信情報の利用」「アクセス・無害化措置」は、いずれも従来の枠組みを大きく超えるものです。基幹インフラ事業者だけでなく、そのサプライチェーンに連なる多くの企業が対応を迫られる可能性があります。
一方で、誤帰属リスク、プライバシー保護、人材不足といった課題も残っており、制度の実効性は今後の運用設計に大きく依存します。法律が成立したことはゴールではなく、本当の意味での議論はこれからはじまります。
企業としての現実的な次のステップは、①自社が対象事業者に該当するか確認する、②現行のインシデント対応・報告体制を点検する、③サプライチェーンリスクの評価を始める、この三つです。
制度の全貌が確定するのを待つより、現時点でできる基礎固めを進めておくことが、変化の速いサイバー安全保障の環境では賢明な選択です。
