「お名前.com デスクトップクラウド」(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)への不正アクセスで、GMOは10月24日、政府の関係機関に「能動的サイバー防御」の適用を求めました。第4報では、この件を発動の第1号と位置付けています。
能動的サイバー防御は、2026年10月1日に施行されたばかりの仕組みです。この記事では、能動的サイバー防御とは何か、そして民間企業が求めて動くものなのかを、10月27日時点の情報で整理します。
守るだけだったサイバー対策を一歩進める
これまでの日本のサイバー対策は、基本的に守る側のものでした。攻撃を受けた会社が自分のシステムを直し、警察が後から捜査する、という形です。
能動的サイバー防御は、そこから一歩進めて、被害が広がる前に、国が攻撃に使われているサーバーなどに対処できるようにする考え方です。英語ではactive cyber defenseと呼ばれ、米国や英国などはすでに似た仕組みを持っています。
法律で何ができるようになったか
根拠になる法律は「重要電子計算機に対する不正な行為による被害の防止に関する法律」で、サイバー対処能力強化法とも呼ばれます。2025年5月に成立し、2026年10月1日に施行されました。
大きく3つの柱があります。
- 官民の連携 電気、通信、金融などの基幹インフラ事業者に、攻撃を受けたときの政府への報告を義務付ける
- 通信情報の利用 攻撃の兆しをつかむために、政府が一定の条件で通信の情報を分析する
- アクセス・無害化措置 警察や自衛隊が、攻撃に使われているサーバーなどに入り込み、攻撃ができない状態にする
報道によると、制度は段階的に施行され、全面的な導入は2027年になる見込みです。無害化の措置は10月1日から可能になっています。
GMOは何を求めたのか
GMOが求めたのは、国が主導して、攻撃に使われている基盤(サーバーやネットワーク)を追跡し、遮断し、無力化することです。
ここで1つ論点があります。GMOのデスクトップクラウドは、法律が想定する基幹インフラには指定されていません。グループ代表の熊谷正寿氏はブログで、形式的な区分だけでなく、国民生活への実際の影響に照らして検討してほしいと述べています。同時に、責任を国に押し付けるつもりはなく、決めるのは政府だとも書いています。
INTERNET Watchの報道によると、10月26日の時点で、この措置が日本で実際に使われた例はまだありません。
民間企業が求めれば動くものなのか
答えは、動かないのが基本です。無害化の措置は、国が自分で判断して行うもので、企業の依頼で発動する仕組みにはなっていません。熊谷氏も、民間企業から言われて動くものではなく政府が主体的に決めるものだ、という点は理解していると書いています。
それでもGMOが公に求めたのは、被害が利用者個人の取引口座に及び、手元のパソコンにまで及ぶおそれもあり、自社の対応だけでは止められない、という判断だと読めます。攻撃者が海外にいる場合、日本の警察が後から捜査するだけでは、次の攻撃を止めるのが難しいからです。
気になる点 線引きの難しさ
能動的サイバー防御は、成立の過程で、通信の秘密(他人の通信の中身を勝手に見てはいけないという憲法上の決まり)やプライバシーとの関係が議論になりました。攻撃に使われているサーバーが、実は乗っ取られた無関係の会社のものだった、ということもありえます。どこまで踏み込むかの線引きは、これからの運用で問われます。
今回の件で政府が措置をとるかどうかは、10月27日時点で公表されていません。もしとられれば、施行から1か月足らずで最初の事例になります。
中小企業にとって何が変わるか
基幹インフラに指定されていない会社にとって、報告の義務などが直接かかるわけではありません。自分の会社のシステムは、これまでどおり自分で守る必要があります。
一方で、攻撃の情報が政府から共有される仕組みは、少しずつ広がっていくはずです。自社で起きたことを警察などにきちんと届けておくことが、国全体で攻撃を止めるための材料になります。
私はこの法律を、成立したころは「大きな組織の話」として読み流していました。今回、借りたクラウドの事故が個人の取引口座にまで及び、その会社が国に対処を求めるのを見て、自分の使っているサービスの向こう側にもこの仕組みが関わりうるのだと実感しました。
GMOの件の経緯は、時系列でまとめています。
