はじめに

2024 年には企業や自治体に対するランサムウェア攻撃や政府機関への不正侵入が相次ぎ、重要インフラを止めるような事例も発生しました。政府の説明資料によれば、警察庁が観測したサイバー攻撃関連通信の99.4 %が海外から発信されたと報告されています。攻撃の質も高度化しており、IT システム停止を狙う暗号化型攻撃だけでなく、有事に備えて重要インフラへ侵入し潜伏するケースや、機微情報の窃取も確認されています。こうした状況を受け、政府は 2025 年に「重要電子計算機に対する不正な行為による被害の防止に関する法律」（以下、サイバー対処能力強化法）とその整備法（以下、整備法）を成立させました。この法律は、いわゆる能動的サイバー防御の導入を柱とし、国民生活や経済活動の基盤をサイバー攻撃から守るための体制整備を目的としています。

法律の目的と基本理念

強化法第1条では、サイバーセキュリティが害された場合に国家及び国民の安全を害し、国民生活や経済活動に多大な影響を及ぼすおそれがあることを踏まえ、重要電子計算機に対する不正な行為による被害の防止を目的として規定しています。第2条の2では、法の適用にあたり通信の秘密や憲法の保障する国民の権利・自由を不当に制限してはならないことが明記され、必要最小限度の権限行使と通信の秘密の尊重が求められています。また、基本方針の策定では、被害防止や当事者協定の締結、通信情報の取扱い、分析情報の提供などが盛り込まれ、法全体が細則化されています。

三本柱：官民連携・通信情報の利用・アクセス・無害化措置

能動的サイバー防御を支える具体的な施策は、大きく三つの柱に整理されています。以下ではそれぞれの内容と警察の役割を紹介します。

官民連携の強化

強化法では、政府と民間の情報共有を強化するためにサイバーセキュリティ協議会を廃止し、より権限を持つ新協議会を設置します。内閣総理大臣は、重要電子計算機を使用する者（あらかじめ同意を得た者）から構成される協議会を設置し、守秘義務を伴う被害防止情報を共有し、必要な資料提出等を求めることができます。基幹インフラ事業者は、特定重要電子計算機を導入した際に製品名を所管大臣へ届出る義務があり、不正アクセスによりサイバーセキュリティが害された場合やその兆候を認知した場合は、事業所管大臣および内閣総理大臣に報告しなければなりません。また、政府や所管大臣は、電子計算機やプログラムに脆弱性が認知された場合に供給者へ情報提供し、必要な対策を求めることができます。

協議会への報告義務違反や秘密情報の漏えいには罰則が設けられており、行政職員や協議会構成員が秘密を不正に利用・漏えいすると2 年以下の拘禁刑または 100 万円以下の罰金が科されます。このように、官民連携の強化は情報共有と責任分担を前提に、重要な電子計算機の資産管理・インシデント報告の徹底を図ります。

通信情報の利用

サイバー攻撃の早期検知・分析のためには、攻撃に関係する通信情報の取得が欠かせません。強化法では、通信情報の取得に明確な法的根拠を与えるとともに、取得・分析のプロセスを細かく規定しています。

外国関係通信の取得

外外通信や外内通信など国外関係の通信にサイバー攻撃が含まれていると疑われ、他の方法では実態把握が著しく困難な場合、内閣総理大臣はサイバー通信情報監理委員会の承認を受けて特定の電気通信設備から通信情報を送信させる措置をとることができます。取得した通信情報は自動選別により分析に必要な機械的情報（IP アドレス、指令情報等）だけを抽出し、それ以外は即時に消去します。

当事者協定に基づく取得

基幹インフラ事業者などの利用者と政府が協定を結ぶことで、外内通信に係る通信情報を政府が提供受けし、分析結果を事業者に返す仕組みも用意されています。協定は任意ですが、協議の求めに正当な理由なく応じないことはできません。取得した通信情報は自動選別を経た後でなければ、政府自ら利用・提供してはならず、提供先は限定されます。

監理委員会による監督

通信情報の取得・利用の適正を確保するため、法律は独立したサイバー通信情報監理委員会（いわゆる 3 条委員会）の設置を規定しています。委員会は委員⾧と委員4名で構成され、内閣総理大臣が任命するものの、両議院の同意が必要です。役割は、国外関係通信取得の承認、通信情報の取り扱いに対する継続的検査、無害化措置の審査・承認などであり、年次報告として承認件数や検査結果などを国会に報告し、公表します。通信情報の不正利用や漏えいには 3 年以下の拘禁刑および罰金などの罰則が科され、適正利用を担保します。

アクセス・無害化措置

通信情報の分析で攻撃サーバが特定された場合、単に遮断・無害化を求めるだけでは不十分です。整備法では、警察および自衛隊に攻撃元の機器に対するアクセス・無害化措置を認める規定が設けられました。

警察による措置

警察庁長官が指名する警察官（サイバー危害防止措置執行官）は、サイバー攻撃又はその疑いがある通信を認め、放置すれば人命や財産に重大な危害が生じるおそれがあるとき、攻撃の送信元の電子計算機の管理者に対し、電気通信回線を介して危害防止に必要な措置を命じること、または自ら実施することができます。対象装置が国内にあると合理的に判断できない場合、事前に警察庁長官を通じて外務大臣と協議する必要があります。処置を行う際には、事前にサイバー通信情報監理委員会の承認を得なければならず、緊急の場合でも実施後速やかに委員会に通知し、その検証・勧告を受けます。処置の実施にあたっては警察庁長官または都道府県警察本部長の指揮を受けることが義務付けられています。

自衛隊による措置

さらに深刻な事態に備え、重要な電子計算機（国の行政機関・地方公共団体・基幹インフラ・防衛産業等）への高度かつ計画的な海外からの攻撃が行われた場合、内閣総理大臣は自衛隊に通信防護措置を命じることができます。これは自衛隊が持つ特別な技術や情報が不可欠であり、国家公安委員会の要請または同意がある場合に限られます。命じられた部隊等は警察と共同で措置を実施し、国内に所在しないと認められるコンピュータに対しては外務大臣と協議し、さらにサイバー通信情報監理委員会の承認を得ることが義務付けられています。これにより自衛隊の活動も厳格に統制されます。

組織体制の再編

整備法は、内閣官房内のサイバーセキュリティ戦略本部を再編し、内閣総理大臣を本部長、全ての国務大臣を本部員とする体制に改めます。同本部の所掌事務には、重要社会基盤事業者等のサイバーセキュリティに関する国の基準作成や、行政機関のセキュリティ確保状況の評価が追加されました。さらに有識者による「サイバーセキュリティ推進専門家会議」を設置し、政策の専門的検討を支援します。

現行の警察のサイバー対処能力と中期政策

法律整備に加え、警察や総務省・NISC などは既存のネットワーク監視や訓練体制の強化を進めています。総務省の中期計画資料では、99 %以上の攻撃パケットが海外からという警察庁の観測データを踏まえ、通信分野の優先事項として IoT ボットネット対策、C&C サーバの迅速な検出・通知、スマートフォンアプリのサプライチェーン対策などが挙げられています。また、NICT の大規模観測基盤（NICTER／STARDUST）やサイバー攻撃分析プラットフォーム CYNEX／CYXROSS を活用し、AI やポスト量子暗号(PQC)技術を取り入れた自動防御機能の研究・評価も推進中です。地域レベルでは、各地方で SECUNITY を設置して人材育成や情報共有を支援し、国際的には AJCCBC（アジアサイバー犯罪対策センター）を通じて途上国支援や訓練を行っています。

課題と論点

能動的サイバー防御法の成立は、日本の対処能力向上に大きな一歩ですが、いくつかの課題も指摘されています。

  1. プライバシーと通信の秘密の保護
    • 通信情報を国が取得・分析することから、個人のプライバシーや通信の秘密が侵害されないように監理委員会の役割が重要です。法律では必要最小限度の権限行使と不当な制限禁止を明示していますが、運用面での厳格な監査が求められます。
  2. 民間の協力確保
    • 協定は任意とされていますが、実際には政府との協議を拒否することはできない仕組みであり、基幹インフラ事業者の負担や情報漏えいリスクに対する懸念もあります。信頼関係を築くため、政府は分析結果のフィードバックや支援策を丁寧に実施する必要があります。
  3. 国際協力と法の越境性
    • 攻撃元が海外である場合、国内だけで無害化措置を完結することは難しく、外務大臣との協議や外国政府との連携が不可欠です。他国も類似の法律を整備しており（英国の調査権限法や米国の外国情報監視法など）、国際協調の枠組みづくりが課題となります。
  4. 人材と技術の強化
    • 警察や自衛隊が無害化措置を実施するには高度な技術とリアルタイムの判断が要求されます。NICT や NISC が進める AI・PQC 研究や訓練を継続し、民間の技術者との連携を拡大することが不可欠です。

おわりに：能動的防御へ向けた新時代の始まり

サイバー攻撃が国家の安全保障や社会基盤を揺るがす重大な脅威となる中、日本は能動的サイバー防御を導入する法制度を整えました。官民連携による情報共有、通信情報の取得・分析、そして警察や自衛隊によるアクセス・無害化措置という三本柱により、従来の受動的な対応から一歩踏み出したと言えます。もっとも、この枠組みはまだ生まれたばかりであり、プライバシー保護や国際協調、実施部隊の能力向上といった課題が残ります。今後は、監理委員会の監督下で透明性と説明責任を確保しつつ、民間企業や国民の理解と協力を得ながら、進化するサイバー脅威への備えを強化していくことが求められます。