サイバーセキュリティ基本法とは｜制定の背景から改正ポイント、企業に求められる対策まで徹底解説
デジタル化が加速する現代社会において、サイバー攻撃の脅威は日々深刻さを増しています。
国立研究開発法人情報通信研究機構（NICT）が運用する大規模サイバー攻撃観測網「NICTER」のデータによると、2023年に観測されたサイバー攻撃関連通信数は約6,197億パケットに達し、2015年と比較して実に9.8倍という驚異的な増加を記録しました。
これは、各IPアドレスに対して平均14秒に1回攻撃関連の通信が行われている計算になります。
こうした状況下で、国家レベルでサイバーセキュリティ対策を推進するための法的基盤として制定されたのが「サイバーセキュリティ基本法」です。本記事では、サイバーセキュリティ基本法の全貌を、制定の経緯から最新の改正内容、そして企業が実施すべき具体的な対策まで、実務に役立つ視点で詳しく解説します。
目次
サイバーセキュリティ基本法とは
サイバーセキュリティ基本法は、2014年（平成26年）11月に成立し、2015年（平成27年）1月から施行された、日本で初めてサイバーセキュリティに特化した包括的な法律です。正式名称は「サイバーセキュリティ基本法（平成26年法律第104号）」といいます。
法律の目的と構成
サイバーセキュリティ基本法の主な目的は、サイバーセキュリティに関する施策を総合的かつ効率的に推進することです。具体的には、以下の3つの柱で構成されています。
第一に、基本理念と責務の明確化があります。国、地方公共団体、重要インフラ事業者、そして国民一人ひとりに至るまで、それぞれの立場における責務を明確に定めています。第二に、サイバーセキュリティ戦略の策定です。政府全体として取り組むべき方針や目標を設定し、計画的な対策推進の枠組みを整備しました。第三に、推進体制の構築として、内閣にサイバーセキュリティ戦略本部を設置し、施策の総合調整を行う体制を確立しました。
サイバーセキュリティの定義
サイバーセキュリティ基本法第2条では、「サイバーセキュリティ」を明確に定義しています。それは、電子的方式、磁気的方式その他人の知覚によっては認識できない方式により記録され、または発信され、伝送され、若しくは受信される情報の漏えい、滅失または毀損の防止、そして情報システムおよび情報通信ネットワークの安全性および信頼性の確保を指します。
つまり、単にコンピューターウイルス対策だけでなく、情報資産全般の保護と、それを扱うシステムの安定稼働を包括的に捉えた概念といえるでしょう。
サイバーセキュリティ基本法が制定された背景
IT社会の進展と新たな脅威の出現
1990年代後半から2000年代にかけて、インターネットやIT技術が急速に社会に浸透しました。それに伴い、不正アクセスやコンピューターウイルスといったサイバー脅威が深刻な社会問題として浮上してきました。
2000年、政府は内閣官房に「情報セキュリティ対策推進室」を設置し、初期的な対応を開始します。さらに2005年には、この体制を強化する形で「情報セキュリティセンター（NISC）」を設立し、政府全体のセキュリティ戦略を統括する機関として機能させました。
重大インシデントの発生
サイバーセキュリティ基本法の制定を決定づけたのは、相次ぐ重大なサイバーインシデントでした。特に、2013年から2014年にかけて、政府機関や重要インフラ事業者を標的とした高度な標的型攻撃が多発しました。
これらの攻撃は、単なる愉快犯によるものではなく、組織的かつ計画的に実行されるものであり、国家の安全保障や経済活動に直接的な影響を及ぼす可能性が明らかになったのです。従来の個別法や省庁ごとの対応では限界があることが認識され、国家レベルでの統一的な法的枠組みの必要性が高まりました。
国際的な動向への対応
当時、欧米諸国では既にサイバーセキュリティを国家安全保障の重要課題として位置づけ、法制度の整備を進めていました。日本も国際社会の一員として、サイバー空間における秩序形成に貢献し、国際協調のもとで対策を推進する必要がありました。
サイバーセキュリティ基本法の基本理念
サイバーセキュリティ基本法第3条では、7つの基本理念が掲げられています。これらの理念は、単に技術的な対策を講じるだけでなく、社会全体としてサイバーセキュリティを確保するための価値観を示しています。
第一の理念は、情報の自由な流通の確保です。セキュリティ対策を強化する一方で、情報の自由な流通を不当に制限してはならないという、民主主義社会における基本的価値を重視しています。
第二の理念は、国民一人ひとりの理解と協力です。サイバーセキュリティは、特定の組織や専門家だけの問題ではありません。国民全体がサイバー脅威の存在を認識し、自発的に対策を講じることが求められます。
第三の理念は、強靱な体制の構築です。サイバー攻撃による被害を防ぐとともに、万が一被害が発生した場合でも迅速に復旧できる体制を整備することが重要です。
第四の理念は、経済社会の活力向上です。適切なサイバーセキュリティ対策を講じることで、安心してIT技術を活用でき、結果として経済社会の発展につながるという考え方です。
第五の理念は、国際協調です。サイバー空間には国境がないため、国際的な秩序形成と協力体制の構築が不可欠です。
これらの理念を実現するため、官民が連携し、多様な主体が協力して取り組むことが求められています。
サイバーセキュリティ基本法の主な内容
国や地方公共団体の責務
サイバーセキュリティ基本法では、国や地方公共団体に対し、基本理念に則って施策を策定・実施する責務を課しています。国は、サイバーセキュリティに関する施策を総合的に策定し実施する責任を負い、地方公共団体は、国との適切な役割分担のもと、地域の実情に応じた施策を実施する責務があります。
重要インフラ事業者等についても、自らサイバーセキュリティの確保に努める責務が明記されています。一方で、国民に対しては「努力」が求められており、強制ではなく自発的な取り組みを促す構成になっています。
サイバーセキュリティ戦略本部の設置と役割
サイバーセキュリティ基本法に基づき、2015年1月、内閣に「サイバーセキュリティ戦略本部」が設置されました。本部長は内閣官房長官が務め、関係閣僚や有識者によって構成されています。
戦略本部の主な役割は、サイバーセキュリティ戦略の策定、重要インフラの防護に関する基本的な方針の作成、そして政府機関等の情報システムに対する監査の実施などです。事務局は、従来の「情報セキュリティセンター（NISC）」を改組した「内閣サイバーセキュリティセンター（NISC）」が担っています。
重要インフラ防護の推進
サイバーセキュリティ基本法では、国民生活や経済活動に重大な影響を及ぼす可能性のある「重要インフラ」の防護を特に重視しています。現在、14分野が重要インフラとして指定されており、情報通信、金融、航空、空港、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流、化学、クレジット、石油が含まれます。
これらの分野の事業者には、サイバーセキュリティ対策の実施が強く求められ、政府も支援や指導を行う体制が整備されています。2015年の日本年金機構における個人情報漏えい事件は、重要インフラの脆弱性が現実の被害につながる可能性を如実に示した事例といえるでしょう。
サイバーセキュリティ基本法の改正経緯
サイバーセキュリティ基本法は、社会情勢やサイバー脅威の変化に対応するため、複数回の重要な改正が行われてきました。
2016年（平成28年）の改正
2016年4月に実施された第一回目の改正は、2015年に発生した日本年金機構の個人情報漏えい事件を契機としています。当初、NISCの調査権限は中央省庁に限られていたため、独立行政法人である日本年金機構への対応が十分にできませんでした。
この反省を踏まえ、改正ではNISCの調査権限の拡大が行われました。具体的には、独立行政法人や特殊法人、認可法人のうち、サイバーセキュリティが確保されない場合に国民生活や経済活動への影響が大きいと認められる法人を「指定法人」として、NISCの監査対象に加えたのです。
また、情報処理の促進に関する法律も同時に改正され、情報処理安全確保支援士制度が創設されました。これは、サイバーセキュリティに関する専門的な知識や技能を有する国家資格であり、企業や組織におけるセキュリティ人材の育成・確保を目的としています。
2018年（平成30年）の改正
2018年12月の改正は、2020年東京オリンピック・パラリンピック競技大会の開催を控え、サイバー攻撃への備えを万全にすることが主眼でした。大規模国際イベントは、世界中から注目が集まる一方で、サイバー攻撃の格好の標的にもなります。
改正の最大のポイントは、サイバーセキュリティ協議会の創設です。協議会は、国の行政機関、地方公共団体、重要インフラ事業者、サイバー関連事業者など、官民の多様な主体が参加し、情報共有や対策の協議を行うプラットフォームとして機能します。2019年4月、改正法の施行とともに正式に発足しました。
また、サイバーセキュリティ戦略本部の所掌事務に、国内外の関係者との連絡調整が追加されました。さらに、この事務の一部を、専門的な知識経験を有する法人に委託できる規定も設けられ、より機動的な対応が可能になりました。
2021年（令和3年）以降の動向
2021年9月には、新たな「サイバーセキュリティ戦略」が閣議決定されました。この戦略では、デジタル改革の進展やデジタル庁の創設といった新たな状況を踏まえ、2021年度から2023年度における諸施策の目標や実施方針が示されています。
近年では、ランサムウェア攻撃の激化や、テレワークの普及に伴う新たな脅威への対応が課題となっており、継続的な法制度の見直しが検討されています。
サイバーセキュリティ基本法が企業に与える影響
重要インフラ事業者への直接的な影響
14分野の重要インフラ事業者は、サイバーセキュリティ基本法により、最も直接的な影響を受けます。これらの事業者には、NISCが策定する「重要インフラの情報セキュリティ対策に係る行動計画」に基づき、具体的な対策の実施が求められています。
対策の柱は、安全基準等の整備、情報共有体制の構築、障害対応体制の整備の3つです。各事業者は、自社の情報システムに対するリスク評価を実施し、それに応じた安全基準を策定・適用する必要があります。また、セプター（CEPTOAR：重要インフラ事業者等の情報共有・分析機能）などの枠組みを通じて、脅威情報の収集・共有を行うことが推奨されています。
一般企業への間接的な影響
重要インフラ事業者以外の一般企業についても、サイバーセキュリティ基本法は無関係ではありません。特に、重要インフラ事業者とサプライチェーンでつながる企業は、取引先からセキュリティ対策の実施を求められるケースが増えています。
実際、大手企業の多くは、取引先選定の際にサイバーセキュリティ対策の実施状況を確認項目に含めるようになりました。つまり、直接的な法的義務はなくても、ビジネス上の要請として、一定水準のセキュリティ対策が必要になっているのです。
経済産業省とIPAが策定した「サイバーセキュリティ経営ガイドライン」では、経営者が認識すべき3原則と、情報セキュリティ責任者に指示すべき10の重要項目が示されており、企業規模を問わず参考になる内容が含まれています。
企業が実施すべきサイバーセキュリティ対策
サイバーセキュリティ基本法の理念を実現し、実際にサイバー攻撃から組織を守るためには、具体的な対策の実施が不可欠です。ここでは、企業が取り組むべき主要な対策を紹介します。
基本的な技術対策の徹底
まず基本となるのが、OSやソフトウェアの最新状態の維持です。警察庁の調査によれば、多くのサイバー攻撃は、既知の脆弱性を悪用して行われています。定期的なアップデートを徹底し、パッチ適用を迅速に行う体制を整備することが重要です。
セキュリティ対策ソフトの導入も必須といえるでしょう。エンドポイント保護、ファイアウォール、侵入検知・防御システム（IDS/IPS）など、多層的な防御を構築します。近年では、AI技術を活用したアンチウイルスソフトも登場しており、未知の脅威に対する検知能力が向上しています。
アクセス制御の強化も欠かせません。最小権限の原則に基づき、各ユーザーに必要最小限の権限のみを付与します。また、多要素認証（MFA）の導入により、ID・パスワードの漏えいだけでは不正アクセスできない仕組みを構築すべきです。
組織的な対策の実施
技術対策だけでなく、組織的な体制整備も重要です。まず、経営層が関与する形で、サイバーセキュリティに関する方針や計画を策定します。CISO（最高情報セキュリティ責任者）やCSIRT（Computer Security Incident Response Team）といった専門組織の設置も検討すべきでしょう。
規程・手順の整備では、情報セキュリティポリシー、データ取扱規程、インシデント対応手順書など、各種文書を整備し、従業員に周知徹底します。これらの規程は、単に作成するだけでなく、定期的に見直し、実態に即した内容に更新し続けることが大切です。
人的対策の充実
サイバーセキュリティ対策において、技術や組織と並んで重要なのが人的側面です。IPAの調査によれば、情報セキュリティインシデントの多くは、従業員の不注意や知識不足に起因しています。
定期的なセキュリティ教育の実施が不可欠です。単に座学で知識を詰め込むだけでなく、標的型メール攻撃の訓練など、実践的な内容を取り入れることが効果的です。教育は、入社時だけでなく、年1回以上の頻度で継続的に実施すべきでしょう。
また、セキュリティ文化の醸成も重要な課題です。セキュリティ担当部門だけでなく、全従業員が「自分ごと」としてセキュリティを意識し、疑わしい事象を発見したら報告する風土を作ることが、組織全体の防御力向上につながります。
インシデント対応体制の整備
どれだけ対策を講じても、サイバー攻撃を100%防ぐことは不可能です。したがって、インシデント発生を前提とした対応体制の整備が必要になります。
インシデント対応計画には、検知、初動対応、影響範囲の特定、封じ込め、根絶、復旧、再発防止という一連のプロセスを明確化します。特に重要なのは、初動対応の迅速性です。インシデント発生から対応開始までの時間が短いほど、被害を最小限に抑えられます。
定期的な訓練やシミュレーションの実施も欠かせません。机上演習（テーブルトップエクササイズ）や、実際のシステムを使った実地演習を通じて、対応手順の妥当性を検証し、関係者のスキル向上を図ります。
サプライチェーンセキュリティの強化
近年、特に注目されているのがサプライチェーン全体でのセキュリティ対策です。自社のセキュリティが堅固でも、取引先のシステムを経由して攻撃を受けるケースが増加しています。
取引先選定の際に、セキュリティ対策の実施状況を確認項目に含めることや、契約書にセキュリティ要件を明記することが推奨されます。また、定期的に取引先のセキュリティ状況を監査し、必要に応じて改善を求める仕組みも有効です。
サイバーセキュリティ基本法と関連法令の関係
サイバーセキュリティ基本法は、他の関連法令と連携しながら、包括的なサイバーセキュリティの確保を目指しています。
個人情報保護法は、個人情報の適切な取扱いを規定しており、サイバーセキュリティ対策は個人情報保護の基盤となります。個人情報の漏えいを防ぐためには、サイバーセキュリティ基本法の理念に基づく適切な技術的・組織的措置が必要です。
不正アクセス禁止法は、不正アクセス行為そのものを禁止する法律です。サイバーセキュリティ基本法が防御側の対策を促進するのに対し、不正アクセス禁止法は攻撃側への抑止力として機能します。
デジタル社会形成基本法は、2021年に成立した法律で、デジタル社会の形成に関する基本理念や施策を定めています。サイバーセキュリティは、安全で信頼できるデジタル社会の実現に不可欠な要素として位置づけられており、両法は密接に関連しています。
これらの法令が相互に補完し合うことで、法体系全体としてサイバー空間の安全を確保する仕組みが整えられつつあります。
サイバーセキュリティ基本法の今後の課題と展望
サイバーセキュリティ基本法は、日本のサイバーセキュリティ対策の基盤として重要な役割を果たしていますが、いくつかの課題も指摘されています。
中小企業への支援強化
大企業と比較して、中小企業のセキュリティ対策は依然として遅れているのが実情です。IPAの調査では、中小企業の多くが予算や人材の不足により、十分な対策を講じられていないことが明らかになっています。
中小企業は、大企業のサプライチェーンの一部として、攻撃の足がかりにされるリスクがあります。国や自治体による支援策の拡充、低コストで導入できるセキュリティツールの開発・提供など、中小企業でも実施可能な対策の推進が求められます。
新たな脅威への対応
サイバー攻撃の手法は日々進化しています。特に、AI技術の悪用や量子コンピューターの登場による暗号技術の脆弱化など、新たな脅威への対応が課題となっています。
法制度も、技術の進歩や脅威の変化に応じて、継続的に見直していく必要があります。柔軟かつ迅速な法改正のメカニズムの確立が求められるでしょう。
国際協力の深化
サイバー空間には国境がないため、国際的な協力体制の構築が不可欠です。特に、サイバー犯罪者の摘発や、国家を背景とする攻撃への対応には、各国の法執行機関や情報機関の緊密な連携が必要です。
日本は、国際的なサイバーセキュリティの枠組み作りに積極的に参画し、ルール形成においてリーダーシップを発揮することが期待されています。
まとめ
サイバーセキュリティ基本法は、デジタル化が進む現代社会において、国家の安全保障、経済活動の基盤、そして国民の日常生活を守るための重要な法的枠組みです。2015年の施行以来、社会情勢や脅威の変化に応じて改正を重ね、より実効性のある制度へと進化を続けています。
法律は、国、地方公共団体、重要インフラ事業者、一般企業、そして国民一人ひとりに、それぞれの立場に応じた責務や努力義務を課しています。特に企業においては、法的要求への対応にとどまらず、ビジネスリスク管理の観点からも、積極的なサイバーセキュリティ対策の実施が求められています。
サイバー攻撃関連通信数が2015年比で約10倍に増加し、各IPアドレスに14秒に1回攻撃が試みられている現状を考えれば、「うちは狙われない」という楽観論は通用しません。技術的対策、組織的対策、人的対策をバランスよく組み合わせ、多層的な防御体制を構築することが、企業の持続的な成長と信頼確保につながります。
サイバーセキュリティは、一度対策を講じれば終わりではなく、継続的な改善が必要な取り組みです。サイバーセキュリティ基本法の理念を理解し、自組織の状況に応じた実効性ある対策を推進していくことが、デジタル時代を生き抜く企業の必須条件といえるでしょう。
