2025年5月16日、サイバー攻撃の兆候を捉え、発生前に対処する仕組みを合法化する「能動的サイバー防御法」が成立しました。この法案は、海外で言われるところの Active Cyber Defense（ACD：アクティブ・サイバー・ディフェンス）に沿ったものであり、日本のサイバー防衛を「受け身」から「先手」へ転換するものとして注目されています。そこで今回は、ACD法の概要と中小企業への影響にフォーカスします。

参考情報：サイバー安全保障に関する取組（能動的サイバー防御の実現に向けた検討など）｜内閣官房ホームページ
https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html

法案の概要と目的

ACD法の正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律およびその整備法」で、「能動的サイバー防御法案／能動的サイバー防御法」などと呼ばれることもあります。

主なポイントは以下の3点です。

官民連携の強化
重要インフラ事業者がサイバー攻撃を受けた場合、企業から政府への情報共有、政府から企業への情報共有、対処支援の強化などの取組を強化する。
通信情報の利用
サイバー攻撃の実態を把握するため、(同意によらない)通信情報を取得して分析する。ただし、通信の秘密に配慮する。
アクセス・無害化措置
重大な危害を防止するための無害化措置を目的として、攻撃者と疑われるサーバーへの侵入・無害化ができるよう、政府を中心に警察や自衛隊などの組織に必要な権限を付与する。

これまで日本のサイバーセキュリティは、サイバー攻撃による被害が発生した後に対応する「受動防御」型が中心でした。しかし、近年は国家間のサイバー攻撃やランサムウェア被害が急増し、政府は「発生前に攻撃を無害化する」仕組みを導入せざるを得なくなりました。

日本では憲法21条において「通信の秘密」が保証されているため、これまではサイバー攻撃が疑われる場合でも、通信を監視することは憲法違反と見なされる可能性がありました。しかし、ACD法では、サイバー攻撃による被害防止を目的に、兆候検知、通信の分析、通信の遮断や無害化を認めています。ただし、通信の秘密には配慮が必要であるため、これらの措置を実行できる組織は限定されています。

中小企業視点でのACD法

近年は国家レベルの攻撃や高度なサイバー犯罪が増えており、こうした攻撃では中小企業が“弱いサプライチェーンのリンク”として狙われています。そのため、政府が“先制防御”を整備する中、小規模企業でも攻撃リスクの認識を高める必要があります。つまり、ACD法は「重要インフラ事業者」だけが対象なのではなく、ネットワークでつながった多くの企業や組織も対象だと言えるでしょう。

ACD法では官民連携による情報共有体制が整備されます。中小企業の多くは、大手企業や公共機関の供給先や協力先であるため、顧客や上位企業、あるいは政府組織から直接「サイバー対策状況を報告してください」「監査を受けてください」と要求されるケースも予想されます。

こうした要求は、中小企業にとって負担になることは間違いありません。しかし、一方でこれをビジネスのチャンスと考える企業もあります。今後は、自社のサイバーリスクを削減するため、多くの企業が協力先の企業にセキュリティレベルを問う場面が増えることは間違いありません。つまり「自社のセキュリティ水準を示せる」ことで取引先からの信頼を得やすくなり、取引・契約上のアドバンテージにつながるということでもあります。

具体的に何をすればいいのか

官民連携や通信情報の活用の仕組みが動き出すと、政府・大企業・中小企業が連動するネットワーク型の防御体系が生まれます。中小企業はこの体系の「末端」ではなく、むしろ「予兆情報をキャッチし、その情報を結節点として取引先へ伝える」という役割を担える可能性があります。受け身になるのではなく、構成要素として参加することで、サプライチェーン全体のセキュリティを強化するという考え方です。

以下のステップを押さえておくと、法制度の変化にも柔軟に対応できます。

(1) セキュリティ体制の現状把握

自社のネットワーク・システム・通信状況を見える化
脅威情報を受け取る手段（例えばISAC／JPCERT等）を確認
取引先や上位企業から求められているサイバーセキュリティ要件を把握

(2) 改善ロードマップを策定

基盤対策（多要素認証・端末管理・ログ管理など）を導入
脅威予兆の収集・共有
先制的モニタリング・対応体制の充実。特に「外部との通信」「サプライチェーン」「リモートアクセス」のリスクを早めに見直す

(3) 情報共有・協力体制を活用

官民連携の枠組み（政府・セキュリティ機関）から発信される脅威情報を活用
必要に応じて、セキュリティ会社・コンサルタントとの連携を検討
同業他社・地域の中小企業ネットワークで情報交流を行う

(4) 先制検知・モニタリングの強化

通信ログの異常検知、外部からのスキャンなど攻撃予兆を捉える体制を整える
ハニーポットの設置やネットワーク分離など、攻撃者を誘引・監視する仕組みも検討
攻撃の“発生前”対応という方向に備えておく

(5) 取引・契約対応

取引先からのセキュリティ要件に対応できるよう、社内ポリシーを整理
セキュリティ状況を説明できる資料やチェックリストを用意しておく
小規模でも「被害ゼロを目指す姿勢」を取り、信頼を維持

もちろん、これらをすべて一度に実現することはできないかもしれません。まずは現状を把握し、今後の対策ロードマップを策定することが重要です。最終的には、中小企業が「情報を受け取るだけ」から「情報を発信・活用する構成要素」へと役割を変えることで、将来のサイバー防御において存在感を高めることができます。

関連記事：日本のセキュリティ人材不足の現状と育成の取り組みを紹介！
https://hypervoice.jp/security-talent-shortage

まとめ

「能動的サイバー防御法(ACD法)」が成立し、 (同意によらない)通信の分析・遮断を合法化
サプライチェーンでつがなる中小企業も対象となり得る
「自社のセキュリティ水準を示せる」ことが競争優位に繋がる可能性もある