2025年５月、海外からのサイバー攻撃を未然に防ぐ「能動的サイバー防御」を導入するための法案が閣議決定されました。国会で成立させ、2027年までの施行を目指す予定です。

官民一体で体制を整えていくというこの法案について詳しく見ていきましょう。

能動的サイバー防御の概要

通常のサイバー防御は、組織内のネットワークやシステムに対して行うものです。それに対して能動的サイバー防御は被害が発生する前の段階から、兆候やその他の情報収集などでリスクを探知し、攻撃者を特定して相手のシステムに侵入して無害化措置を行うというものです。

現在は、サイバー攻撃を受けたときに攻撃者を特定したり、その攻撃者の環境を無力化したりすることはできません。ある企業一社だけでそこまで情報収集することが難しいということと、外部ネットワーク環境にアクセスすることが法律上禁止されているからです。

それを可能にするのが、能動的サイバー防御。欧米では導入済みの国も多く、日本での防御体制には脆弱性があるとの指摘もありました。

今回の法案では、サイバー安全保障での対応能力を欧米の主要国同等以上に向上させることを目標としています。そのために、「官民連携の強化、通信情報の利用、攻撃者のサーバーなどに侵入・無害化、内閣サイバーセキュリティセンター（NISC）の発展的改組・サイバー安全保障分野の制作を一元的に総合調整する新たな組織の設置など」の実現に向けて検討を進めることになりました。

参照：サイバー安全保障に関する取組（能動的サイバー防御の実現に向けた検討など）｜内閣官房ホームページ

新法に定められている内容

サイバー防御に関する法案は、以下の2つです。

重要電子計算機に対する不正な行為による被害の防止に関する法律案
重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案

防御対象となるのは、サイバー攻撃を受けると生活に大きな悪影響が出る可能性の高い電気や金融、鉄道などの15の基幹インフラと国の基幹、地方自治体となっています。

官民連携の強化

基幹インフラの事業者は、サイバー攻撃を受けた場合には速やかに事業所管大臣と内閣総理大臣に報告する義務が生じます。関係行政機関の長により構成される「情報共有及び対策に関する協議会」が設置され、基幹インフラ事業者、電子計算機等のベンダー等も構成員に加えられます。構成員には、被害防止に関する情報を、守秘義務を伴うものも含め共有されます。逆に、構成員も協議会に情報共有を行わなければなりません。

通信情報の利用

日本国内のサイバー攻撃の実態把握のため、通信情報を利用して分析することになります。
独立機関がその役割を担いますが、制度設計には「通信の秘密」に十分配慮することも盛り込まれています。

取得した通信情報は、「人による知得を伴わない自動的な方法」で、機械的に調査すべきサイバー攻撃に関係するかどうかを選別します。該当しないものはただちに消去します。サイバー防御のためとはいえ、通信が監視されることに不安を覚える方もいるかもしれませんが、誰かが容易に情報にアクセスすることが無いように対策されるため心配は不要です。

分析情報・脆弱性情報の共有等

基幹インフラの事業者からの報告や選別した通信情報、協議会を通じて得た情報などは整理・分析され、重大な危害につながる前に、警察、自衛隊が適正な対応を行います。

警察は、サイバー攻撃に用いられる通信などが認められ、そのまま放置すると重大なインシデントが発生するおそれがある場合に措置を行います。

その内容は、攻撃関係サーバー等の管理者等への措置命令のほか、場合によっては警察自らが該当サーバーにインストールされている攻撃プログラムの削除などを行います。

自衛隊は、一定の重要なシステムなどへのサイバー攻撃で、かつ、外国政府を背景とする主体による高度な攻撃が認められ、自衛隊が対処する必要があるときに措置を行います。自衛隊が対処すべきことというのは、自衛隊が有する特別な技術や情報が必要不可欠であるケースを指します。

サイバー攻撃には、中国、ロシア、北朝鮮からのものが多いという見方があります。そのような海外からのサイバー攻撃対策は自衛隊が担うことになります。

新法案には罰則も

官民連携の強化に関する罰則としては、行政職員及び協議会構成員等による秘密の不正な利用・漏えいの行為は2年以下の拘禁刑又は100万円以下の罰金、基幹インフラ事業者がインシデント報告等を行わず、是正命令を受けても尚対応しない場合は200万円以下の罰金、基幹インフラ事業者がインシデント報告等に関連し、資料提出等を求められても対応しない場合は30万円以下の罰金となっています。

通信情報の利用に関する罰則は、通信情報を取り扱う行政職員による、通信情報の不正な利用・漏えいの行為は3年以下の拘禁刑又は100万円以下の罰金など、情報漏えいや不正な通信情報の取得などが定められています。

一般の企業が準備すべきこと

インフラや政府、地方自治体の基幹システムに携わる企業や団体が能動的サイバー防御に対して準備をしなければならないのは言うまでもありません。IT機器やソフトウェアのベンダーも無関係ではないとして、法案をよく確認して備えておくといいでしょう。

一般企業にとっては、直接新法案に関わる内容ではありませんが、サイバー攻撃のリスクは常に潜んでいますから、国がどのような対策をとるのか注視しておくことは大切です。

関連記事：国が行うサイバーセキュリティ対策
https://hypervoice.jp/cybersecuritygovernment

まとめ

能動的サイバー防御のための法案が2025年５月に閣議決定
能動的サイバー防御は、サイバー攻撃を受ける前に攻撃者を特定して相手のシステムに侵入して無害化措置する方法
関係者による情報漏えいが生じた場合の罰則も定められる