能動的サイバー防御とは？　法律の仕組みや対象企業、必要な対策を分かりやすく解説

サイバー攻撃による被害のニュースを目にして「自社でも対策を強化すべきだろうか」と悩む方もいるのではないでしょうか。サイバー攻撃による被害は、自社だけではなく取引先にも影響を及ぼす恐れがあるので、事前の備えが重要です。

こうした被害を未然に防ぐために、国が導入を進めているのが「能動的サイバー防御」です。関連法案は2025年2月に閣議決定され、同年5月に成立しました。2026年10月1日からは対象事業者に届出・報告義務が課されており、対象外の企業にも取引関係を通じた影響が考えられます。

本記事では、能動的サイバー防御の仕組みや法律の対象、企業への影響、今から取り組むべきセキュリティ対策について解説します。

能動的サイバー防御とは？

能動的サイバー防御とは、重大なサイバー攻撃の兆候を早期に把握し、被害が生じる前に必要な対処を行う取り組みです。

サイバー攻撃は、被害が発覚してから対応を始めても、拡大を防げない場合があります。そこで日本では、企業と国が攻撃に関する情報を共有し、国が通信情報などを分析する仕組みを整えているのです。これにより、攻撃の兆候を早期に把握することを目指しています。

重大な攻撃を防ぐ必要がある場合は、法律で定められた条件の下、警察や自衛隊が攻撃に使われるサーバーなどにアクセスし、無害化措置を講じます。

まずは、従来のサイバー防御との違いと、制度が導入された背景について解説します。

従来のサイバー防御との違い

従来のサイバー防御は、ファイアウォールやウイルス対策ソフトなどを活用し、自社のネットワークやシステムへの侵入を防ぐ対策が中心でした。基本的に、企業が自社の管理する範囲で実施するものです。

一方、能動的サイバー防御では、国が複数の情報を組み合わせ、個々の企業だけでは把握しにくい攻撃の動きを捉えます。

従来のサイバー防御が自社のシステムを守ることを中心とするのに対し、能動的サイバー防御は国が主体となり、企業の管理範囲を超える脅威にも対処する点が異なります。

能動的サイバー防御が導入された背景

能動的サイバー防御が導入された背景には、サイバー攻撃の増加・高度化や、国境を越えた攻撃への対応の難しさがあります。

政府はこうした脅威への対応力を強化するため、2022年12月に「国家安全保障戦略」を閣議決定しました。この戦略では、サイバー安全保障分野の対応能力を欧米主要国と同等以上に高めるという目標を掲げています（※1）。

その後の観測結果からも、サイバー攻撃の脅威がうかがえます。情報通信研究機構（NICT）の観測では、2024年のサイバー攻撃関連通信は約6,862億パケットでした（※2）。また警察庁が同年に観測した攻撃関連通信の99.4%は、海外のIPアドレスから発信されたものです（※3）。

こうしたサイバー脅威に対応するため、国家安全保障戦略の方針に沿って、能動的サイバー防御の制度整備が進められました。

※1参考：防衛省.「国家安全保障戦略について」.https://www.mod.go.jp/j/press/wp/wp2024/html/ns001000.html ,（2022-12-16）.

※2参考：情報通信研究機構.「NICTER観測レポート2024の公開」.https://www.nict.go.jp/press/2025/02/13-1.html ,（2025-02-13）.

※3参考：警察庁.「令和7年におけるサイバー空間をめぐる脅威の情勢等について」.https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf ,（参照2026-10-29）.

能動的サイバー防御を支える法律の仕組み

2025年5月に成立した2つの関連法では、官民による情報共有や通信情報の利用、重大なサイバー攻撃への対処などが定められています。

ここでは、法律の概要や制度を構成する主な取り組みと、施行スケジュールについて解説します。

※参考：内閣官房.「サイバー対処能力強化法等の施行について」.https://www.cyber.go.jp/pdf/press/siryou_20260930.pdf ,（参照2026-10-30）.

※参考：内閣府.「サイバー対処能力強化法及び同整備法について」.https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei_r810.pdf ,（参照2026-10-30）.

サイバー対処能力強化法と同整備法の概要

能動的サイバー防御に関する法律は、2025年5月16日に成立し、同月23日に公布されました。以下の2つの法律で構成されています。

• サイバー対処能力強化法（令和7年法律第42号）：正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」
• 同整備法（令和7年法律第43号）：正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律」

サイバー対処能力強化法では、官民の情報共有や通信情報の利用などを定めています。一方の同整備法は、警察や自衛隊によるアクセス・無害化措置などを可能にするため、関連する法律を改正するものです。

これらの法律によって、官民が連携して情報を共有し、国家機関が重大なサイバー攻撃に対処するための法的な枠組みが整備されました。

制度を構成する4つの主な取り組み

能動的サイバー防御は、官民の情報共有から攻撃への対処まで、複数の取り組みを組み合わせた制度です。

主に以下の4つで構成されています。

取り組み	概要
官民連携	基幹インフラ事業者からのインシデント報告や、国からの脆弱性・攻撃情報の提供を通じて情報共有を進める
通信情報の利用	法律で定められた条件の下、国外が関係する通信情報を取得・分析し、攻撃に使われるサーバーなどの特定につなげる
アクセス・無害化措置	重大なサイバー攻撃を防ぐため、警察や自衛隊が必要な手続きを踏み、攻撃に使われるサーバーなどへのアクセスや無害化を行う
組織・体制整備等	国家サイバー統括室（NCO）やサイバー通信情報監理委員会などを設け、関係機関の連携や制度の適正な運用を図る

また官民連携の一環として、国と関係事業者などが情報を共有する「サイバー協議会」も設けられています。協議会の構成員には守秘義務が課され、機密性の高い情報を扱うための体制が整えられています。

2026年10月1日以降の施行スケジュール

サイバー対処能力強化法と同整備法は、段階的に施行されています。2026年10月1日以降の主な施行スケジュールは、以下の通りです。

施行時期	主な内容
2026年10月1日	官民連携の強化や、アクセス・無害化措置に関する規定が施行
2027年秋（予定）	通信情報の利用に関する規定が施行

2026年10月1日からは、対象となる基幹インフラ事業者に対し、一定のシステムに関する届出や、サイバー攻撃に関するインシデント報告が義務付けられています。

通信情報の利用に関する規定は、2027年の秋に施行される予定です。全ての仕組みが同時に始まるわけではないので、対象事業者は施行時期を事前に確認の上、対応を進めましょう。

届出・報告義務の対象となる事業者

届出・報告義務の主な対象は、経済安全保障推進法に基づいて指定された「特定社会基盤事業者」です。このうち、一定の重要なシステムを使用する事業者は、サイバー対処能力強化法で「特別社会基盤事業者」と呼ばれます。

特定社会基盤事業者の対象となるのは、電力や金融、交通など、国民生活や経済活動に欠かせないサービスを提供する事業者のうち、国から指定された事業者です。

現時点では、以下の15分野で258事業者が指定されています。

• 電気
• ガス
• 石油
• 水道
• 鉄道
• 貨物自動車運送
• 外航貨物（外航海運）
• 港湾運送
• 航空
• 空港
• 電気通信
• 放送
• 郵便
• 金融
• クレジットカード

また2026年6月には、医療分野を追加するための法改正が公布されました。対象となる分野や事業者が変わる可能性もあるので、今後の政省令や事業者の指定状況も都度確認しましょう。

※参考：内閣府.「経済安全保障推進法の特定社会基盤役務の安定的な提供の確保に関する制度について」.https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/doc/infra_gaiyou.pdf ,（2026-07-07）.

対象事業者に求められる対応と罰則

サイバー対処能力強化法では、対象事業者に対し、重要なシステムに関する届出や、一定のサイバーインシデントを認知した際の報告を義務付けています。これらの義務に違反した場合は罰則が科される可能性もあるため、必要な手続きを把握しておくことが重要です。

ここでは、具体的な届出・報告の内容と、義務違反に対する罰則について解説します。

※参考：内閣府.「サイバー対処能力強化法及び同整備法について」.https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/pdf/setsumei_r810.pdf ,（参照2026-10-30）.

特定重要電子計算機の届出

対象事業者は、サイバー攻撃によって重要設備の機能が停止・低下する恐れのある「特定重要電子計算機」を政府に届け出る必要があります。

例えば、重要設備と接続されたサーバーやネットワーク機器、クラウドサービスを利用するシステムなども対象になり得ます。ただし、全ての機器が届出対象になるわけではなく、法律や政省令に基づく判断が必要です。

届出期限は、以下の通りです。

区分	届出期限
新たに導入する場合	原則として導入日から4カ月以内
2026年10月1日時点で導入済みの場合	2027年3月31日まで
届出事項を変更した場合	原則として変更日から4カ月以内

また外部委託先が管理するシステムも対象となる可能性があります。自社が所有する機器だけではなく、委託先の管理状況も確認しておきましょう。

インシデント発生時などの報告義務

対象事業者は、特定重要電子計算機で一定のサイバーインシデントを認知した場合、事業所管大臣と内閣総理大臣に報告する義務があります。

報告対象には、不正アクセスやマルウェア感染などによる侵害の他、法律で定められた攻撃の兆候も含まれます。ただし、全ての不審な通信や攻撃の試行が対象となるわけではありません。

報告は、事象の概要を伝える「速報」と、被害状況や対応内容などを整理する「詳報」の2段階で行います。

報告の種類	報告期限
速報	認知後、速やかに報告 DDoS攻撃では可能な限り速やかに、ランサムウェアなどでは認知日から3～5日以内
詳報	原則として認知日から30日以内

報告期限が設けられているため、インシデントを認知した際に必要な情報を収集し、速やかに報告できる体制を整えておくことが大切です。

※参考：内閣府.「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説」.https://www.cao.go.jp/cybersecurity/pdf/cyber_kaisetsu_202610.pdf ,（2026-10-01）.

届出・報告義務に違反した場合の罰則

サイバー対処能力強化法では、届出・報告義務に違反した場合の罰則が定められています。

届出や報告を怠り、政府からの是正命令にも従わなかった場合は、200万円以下の罰金が科されます。また法律に基づく報告や資料提出の要求に応じなかった場合や、虚偽の報告をした場合などには、30万円以下の罰金が科される可能性もあるでしょう。

ただし、罰則の対象となるのは、サイバー攻撃による被害そのものではありません。法律で定められた義務や命令に違反した場合に適用されます。

対象事業者は、必要な届出・報告の内容や期限を把握し、対応を速やかに行える体制を整えておきましょう。

※参考：e-Gov法令検索.「重要電子計算機に対する不正な行為による被害の防止に関する法律」.https://laws.e-gov.go.jp/law/507AC0000000042 ,（2026-10-01）.

能動的サイバー防御の運用における課題

能動的サイバー防御を運用する際は、通信情報の取り扱いやサイバー攻撃への対処に関して、慎重な判断が求められます。

ここでは、通信の秘密やプライバシーの保護、誤検知への対応など、主な課題について詳しく解説します。

通信の秘密やプライバシーの保護

能動的サイバー防御では、攻撃の兆候を把握するために通信情報を取得・分析します。しかし、その中にはサイバー攻撃と関係のない通信も含まれる可能性があるので、憲法第21条で保障される「通信の秘密」やプライバシーへの配慮が欠かせません。

こうした問題に対応するため、法律では国外が関係する通信情報の取得・利用に条件を定めています。また取得した情報は、自動的な処理によって攻撃の分析に必要な情報を選別し、それ以外を消去する仕組みが設けられています。

さらに、これらの仕組みが適切に運用されているのかを監督するのが、独立機関である「サイバー通信情報監理委員会」です。通信情報の利用に関する承認や検査などを行います。

攻撃への対処に必要な情報を活用しながら、通信の秘密やプライバシーを保護することが重要です。

誤検知への対応

能動的サイバー防御では、攻撃の兆候を分析する際に、正常な通信を不審な通信と誤って判定する「誤検知」が生じる可能性があります。

例えば、通常の通信をサイバー攻撃の一部と誤認するケースです。誤った判定に基づいて対処すると、攻撃とは関係のないシステムや通信に影響が及ぶ恐れもあります。

一方、慎重に判断し過ぎると、重大な攻撃への対応が遅れる可能性もあります。攻撃の危険性や対処の必要性を見極め、誤検知による影響を抑えながら迅速に対応することが課題です。

専門人材の確保

能動的サイバー防御を適切に運用するには、サイバー攻撃の手法や通信情報の分析、関連する法律などに精通した専門人材が必要です。特に高度なサイバー攻撃の兆候を正確に捉え、危険性や必要な対処を判断する能力が求められます。

しかし、こうした専門知識や技術を備えた人材を確保することは容易ではありません。サイバー攻撃の手法は変化し続けるため、継続的な知識・技術の習得が必要となるでしょう。

専門人材の育成・確保に加えて、関係機関との連携を強化していくことが重要といえます。

国外への無害化措置に伴う法的な課題

サイバー攻撃に使用されるサーバーは、国外に設置されている場合もあります。こうしたサーバーにアクセス・無害化措置を実施する際には、国際法上の問題も考慮しなければなりません。

他国の領域内にあるサーバーなどへのアクセスは、相手国の主権を侵害する行為に当たるかどうかが問題となる可能性があるためです。

国内法に定められた手続きだけではなく、国際法上の制約や相手国との協力の可能性なども考慮し、措置の必要性・適法性を慎重に判断することが求められます。

※参考：防衛省防衛研究所.「『能動的サイバー防御』導入と国際法上の評価――特に『アクセス・無害化措置』について」.https://www.nids.mod.go.jp/publication/commentary/commentary394.html ,（2025-08-29）.

法的義務の対象外でも企業に対策が必要な理由

届出・報告義務が直接課されない企業でも、取引先からの要求やサイバー攻撃のリスクを踏まえ、セキュリティ対策を進める必要があります。

ここからは、対象外の企業にも対策が求められる主な理由について確認していきましょう。

取引先から求められるセキュリティ水準の変化

基幹インフラ事業者では、委託先を含めたセキュリティ対策が重要です。取引先に対しても管理体制の確認や、インシデント発生時の通知、ログの提供などを求める可能性があります。

こうした要求は、契約書やSLA（サービスレベル合意書）に盛り込まれることも考えられるでしょう。また企業のセキュリティ対策の状況を評価する取り組みも進められています。

例えば、経済産業省などが整備を進める「SCS評価制度」です。2026年度末頃の制度開始を目指しており、企業間の取引で活用することが想定されています。

SCS評価制度は任意です。ただし、取引先から一定のセキュリティ水準を求められる場合があるので、必要な対策を確認し、対応を進めましょう。

※参考：経済産業省.「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」.https://www.meti.go.jp/policy/netsecurity/scs.html ,（2026-07-06）.

自社のIT機器がサイバー攻撃の踏み台となるリスク

セキュリティ対策が不十分なサーバーやVPN機器などは、攻撃者に乗っ取られ、他社への攻撃に悪用される恐れがあります。

例えば、中小企業のVPN機器が不正アクセスによって侵害され、取引先のシステムに侵入するための経路として悪用されるケースなどが考えられます。

また攻撃に利用された機器は、法律で定められた条件を満たす場合、警察などによるアクセス・無害化措置の対象となる可能性もあるでしょう。

このようにセキュリティ対策が不十分だと、自社の被害だけではなく取引先にも影響を及ぼす恐れがあります。他社への攻撃に悪用されるリスクを抑えるためにも、機器の脆弱性対策や不正アクセス対策を進めることが重要です。

製品やサービスの脆弱性への対応要請

サイバー対処能力強化法第42条では、政府がIT機器やソフトウェアの脆弱性を把握した場合、供給者に情報を提供する仕組みが設けられています。脆弱性とは、サイバー攻撃に悪用される恐れのある弱点のことです。

特に基幹インフラの重要なシステムに関係する脆弱性については、供給者に被害防止措置を要請できます。また政府は必要に応じて報告や資料の提出を求めることができ、供給者にはこれに応じる努力義務があります。

供給者はこうした情報を踏まえ、脆弱性への対応を進めることが不可欠です。修正プログラムの提供や利用者への注意喚起などが、被害の防止につながります。

※参考：内閣府.「サイバー対処能力強化法及び同整備法について」.”脆弱性対応の強化等”.https://www.cao.go.jp/cybersecurity/pdf/setsumei.pdf ,（2026-10）.

一般企業が今から取り組みたい5つのセキュリティ対策

法的義務の有無にかかわらず、サイバー攻撃による被害を防ぎ、発生時の影響を抑えるためには、企業自身の備えが欠かせません。

最後に、一般企業が今から取り組みたい5つのセキュリティ対策について解説します。

自社への影響と法的義務の有無を確認する

まずは、自社がサイバー対処能力強化法に基づく届出・報告義務の対象となるかどうかを確認しましょう。

直接の対象事業者ではない場合も、基幹インフラ事業者から業務を委託されていたり、IT機器やソフトウェアを供給していたりする場合は、取引関係を通じて対応を求められる可能性があります。

併せて取引先との契約書やSLA（サービスレベル合意書）を確認し、インシデント発生時の通知期限や、求められる管理体制などを整理することも大切です。その上で、自社の対応状況と照らし合わせ、要求事項を満たしているかどうかを確かめましょう。

不足している対策があれば、取引先からの要求やリスクの大きさなどを踏まえ、優先順位を付けて改善を進めましょう。

IT資産と外部委託先を棚卸しする

自社で使用しているパソコンやサーバー、ネットワーク機器、クラウドサービスなどを洗い出し、管理台帳にまとめるのも有効です。名称や利用目的、管理担当者、サポート期限などを一覧化しておくとよいでしょう。

棚卸しの際は、使われていない古い機器や、サポートが終了したOS、管理部門が把握していないクラウドサービスなども確認します。特にサポートが終了した機器やソフトウェアは、脆弱性が見つかっても修正プログラムが提供されない場合があるので注意が必要です。

また外部委託先が運用・保守するシステムについても、管理する範囲や担当者を明確にしておきましょう。更新やセキュリティ対策の担当者を把握しておけば、対応漏れを防ぎやすくなります。

ログの取得・保管体制を整える

不正アクセスなどが発生した際に、原因や影響範囲を調査できるよう、システムの利用状況や操作履歴を記録する「ログ」を取得・保管しておきましょう。

代表的なログには、以下のようなものがあります。

• アクセスログ：システムへのアクセス日時や接続元などの記録
• 認証ログ：ログインの成功・失敗などの記録
• 操作ログ：ファイルの閲覧や変更など、システム上で行われた操作の記録

こうしたログが残っていないと、侵入経路や不正操作の特定が難しくなります。そのため、調査に必要な記録が取得できているかを定期的に確認することが重要です。

ログの保存期間は、法令や契約上の要求、システムの重要性などを踏まえて設定しましょう。またアクセス権限の制限や専用のログ管理ツール、クラウドサービスの保存機能を活用すれば、ログの消失・改ざんを防ぎやすくなります。

インシデント発生時の対応・連絡手順を定める

サイバー攻撃や情報漏えいなどが発生した場合に備え、社内での報告先や初期対応の手順を事前に定めておくことも重要な対策の一つです。

例えば、不審なアクセスを検知した際に、誰が報告を受け、システムの遮断や調査を誰が判断するのかを明確にします。担当者や判断の流れが決まっていないと、対応が遅れる可能性もあるでしょう。

また取引先や外部委託先、関係機関への連絡先と報告期限も確認しておく必要があります。夜間や休日でも、速やかに連絡を取れる体制を整えておくとよいでしょう。

こうした対応手順はマニュアルにまとめて関係者に共有し、定期的な見直しや訓練を通じて、緊急時に実行できる体制を整えておくと安心です。

バックアップの状況と復旧計画を見直す

ランサムウェアによるデータの暗号化やシステム停止に備え、重要なデータを定期的にバックアップしておきましょう。

ただし、バックアップを本番環境と同じネットワーク上に保存していると、攻撃を受けた際に一緒に暗号化される可能性があります。このようなリスクを抑えるには、本番環境から分離した場所に保存したり、複数世代のデータを保管したりする方法が有効です。

またバックアップを取得するだけではなく、実際にデータやシステムを復元できるかどうかも定期的に確認する必要があります。復元手順や担当者、復旧の優先順位なども事前に決めておきましょう。

こうした備えは、災害やシステム障害が発生した際の事業継続・早期再開を目指すBCP（事業継続計画）にも役立ちます。

まとめ

能動的サイバー防御は、重大なサイバー攻撃の兆候を早期に把握し、被害を未然に防ぐための取り組みです。2026年10月1日から関連法の主要規定が施行され、対象事業者には、重要なシステムの届出やインシデントの報告などが義務付けられています。

直接の対象ではない企業も、取引先からの要求や、自社のIT機器が攻撃に悪用されるリスクを踏まえた対策が必要です。まずは自社への影響を把握し、IT資産の棚卸しやログ管理、緊急連絡体制の構築、バックアップの整備などに取り組みましょうましょう。

実際のサイバー攻撃による被害や具体的な対策について詳しく知りたい方は、以下の記事も参考にしてください。

【2026年に発生】企業の情報漏えい・サイバー攻撃事例8選｜原因・被害・対策を解説

【2026年最新比較表あり】Webセキュリティ（ファイアウォール、WAF、DDoS対策）比較17選！導入のメリットを解説

【2026年最新比較表あり】フォレンジック調査サービス比較20選！　主な対応内容や費用、特長を徹底解説