次の焦点は国内通信
日本は、国内だけで行われる通信のデータも当局が収集できるよう、能動的サイバー防御法制の拡大を検討している。現在は、国外間の通信と日本・海外間の通信を対象とする枠組みを広げるものとなる。
目次
高市早苗首相は11月6日のサイバーセキュリティー会議で、サイバー攻撃に関する情報収集能力を強化する法改正の検討を閣僚に指示した。与党は国内通信を対象に含めるよう提言しており、政府はこの提案を考慮する方針だ。
この提案と並行して、2026年度の予備費から100億円（約6300万ドル）を充てる緊急サイバーセキュリティー対策も進められている。対策には、脅威を検知する人工知能（AI）、攻撃に対応する専門チーム、被害企業への支援が含まれる。
中心的な論点は、政府による情報収集の範囲だ。日本国内の2地点間の通信は、現行の能動的サイバー防御の枠組みにおける通信監視の対象区分に含まれていない。この境界を変更すれば、新たな種類の通信が対象となる可能性がある。
企業にとって、制度の整備は実務上の義務も伴う。15分野の重要インフラ事業者258社を対象とする導入計画では、重要なコンピューターシステムに関する情報の提出と、重大なサイバーインシデントの報告が求められる。金融、航空、電力、通信、港湾、クレジットカードなどが対象分野だ。
日本は、法的権限の拡大、技術力の強化、重要サービスを担う企業との連携強化を同時に進めている。国内通信への対象拡大案は引き続き検討中で、改正案の提出や成立時期は示されていない。
能動的サイバー防御とは
能動的サイバー防御（ACD）は、深刻な被害が出る前にサイバー攻撃を特定し、阻止することを目指す。組織が侵害に気づいてから復旧を支援するだけにとどまらない。
日本の枠組みには、脅威に関する情報収集に加え、法的要件の下で警察や自衛隊が攻撃者の使うサーバーに侵入し、悪意あるプログラムを停止させることが含まれる。サーバーとは、他のコンピューターにサービスやデータを提供するコンピューターだ。攻撃者は、被害者のネットワーク内にある有害なソフトウェアに指示を送るため、サーバーを利用することがある。
こうしたプログラムを停止すれば、攻撃を中断できる。ただし、該当するサーバーを見つけるには、攻撃の仕組みや関係するシステムについての情報が必要になる。そのため政府は、攻撃を妨害する権限と並行して、情報収集権限のあり方も検討している。
国内通信の提案は、当局がどこで通信情報を収集できるかに関わる。サーバーへの介入規定は、攻撃に使われるインフラに対して当局が何をできるかを定める。いずれも能動的サイバー防御の一部だが、役割は異なる。
国内通信の境界が重要な理由
現行の枠組みでは、国外の地点間を結ぶ通信、日本と他国を結ぶ通信、日本国内だけで行われる通信を区別している。最初の2種類は対象だが、3つ目はこの監視の枠組みから除外されている。
サイバー攻撃では、攻撃者と被害者を直接つなぐ通信だけでなく、複数のコンピューターが関与することがある。侵害された端末が、指示や悪意ある通信を中継する場合もある。捜査では、通信を運ぶコンピューターの所在地によって、行使できる法的権限が変わる。
国内の通信も対象に加えれば、日本国内のシステムを経由する攻撃を追跡する際に、当局が調べられる情報の範囲が広がる可能性がある。実際の適用範囲は、対象データ、アクセスの条件、収集した情報の取り扱いなど、改正案の文言や運用規則によって決まる。
国内通信には、国内でサービスを利用する個人や企業の通信も含まれる。拡大された制度が日常生活でどのように運用されるかを理解する上で、対象の選定、アクセス、保存、監督に関する規則が重要となる。
企業への攻撃を受けた緊急対策
高市首相の政府は、重大な個人情報漏えいが相次いだことを受け、首相が議長を務める会議で緊急対策を決定した。GMOインターネットグループを狙ったランサムウェア攻撃を受け、首相は前週、対策を指示していた。
ランサムウェアは、通常は金銭の支払いを要求しながら、データやコンピューターシステムを利用できない状態にする悪意あるソフトウェアだ。被害企業は、侵入を封じ込め、安全なシステムを特定し、情報が持ち出されたか調査する一方で、サービスを復旧させる必要が生じることがある。
緊急対策は、AIを活用したセキュリティー強化、情報収集の強化、攻撃への戦略的対応、被害者支援の拡充という4分野を対象とする。100億円の一部は、警察の情報収集能力の強化に充てられる。
政府は攻撃者に対抗するサイバーセキュリティー専門家のチームも設置する方針だ。官民から集めた別の支援チームは攻撃を受けた企業を支援し、さらに別の部門が潜在的な脅威に直面する企業に助言する。
これらのチームは、インシデントの異なる段階に対応する。脅威が現れた時点での助言は企業の初動に役立ち、専門家の介入は進行中の攻撃への対応を支え、復旧支援は被害企業が影響に対処する助けとなる。AIはコンピューターシステムの弱点の特定にも使われる。
重要インフラ事業者に新たな義務
内閣官房の国家サイバー統括室と内閣府は9月30日、サイバー対応法制の導入について説明する資料を公表した。組織体制の整備と重要インフラ事業者との連携は10月1日に始まった。
制度の対象は、15分野に指定された258事業者だ。各社のサービスは日常生活とサイバーセキュリティーを結び付けている。サービスが中断すれば、決済、電力、通信、輸送、港湾での貨物の移動に影響が及ぶ可能性がある。
対象事業者は、製品名を含め、指定された重要なコンピューターシステムについて、所管大臣に届け出なければならない。導入スケジュールでは、すでに使用中のシステムは翌年3月が期限となる。新たに導入したシステムは4カ月以内に届け出る必要がある。
政府は、こうしたシステムの一覧を、まだ公表されていない脆弱性に関する情報と照合する計画だ。脆弱性とは、攻撃者に悪用されるおそれがあるソフトウェアや機器の弱点を指す。影響を受ける製品をどの事業者が使っているか把握できれば、必要な企業に的を絞って警告を送ることができる。
重大インシデントの政府への報告
10月1日から、対象事業者は指定された重要なコンピューターシステムに影響する重大なサイバーインシデントを、所管大臣と首相の双方に報告しなければならない。悪意あるソフトウェアの実行や不正アクセスなどが対象となる。
この義務により、政府は重要サービス全体で発生する重大な攻撃を把握できる。インシデントの技術情報は、被害組織のプライバシーに配慮した上で他の事業者と共有され、同様の攻撃に対する防御強化に役立てられる。
設置が計画されている情報共有協議会には、主に重要インフラ事業者を中心に約100の組織が参加する見通しだ。政府の脅威情報と、運用システムの保護を担う企業をつなぐことを目的としている。
政府の取り組みは、事業者がどの製品を使っているか、どのような脅威が検知されているかという2種類の情報を組み合わせる。製品一覧によって警告を届けるべき相手を特定し、インシデント情報によって自社のシステムで何を確認すべきかを伝えることができる。
機微な警告情報の共有方法
政府の脅威情報には、情報源を明らかにしたり、特定企業を識別したりする詳細が含まれる場合がある。当局は事業者に配布する前に、機密情報を削除するか、個人や組織を特定できる情報を匿名化する方針だ。こうした処理はサニタイズと呼ばれる。
有用な警告では、当局が情報をどのように入手したかを明かす情報は削除しつつ、攻撃の技術的な兆候を残すことができる。機微情報を保護しながら、企業が行動に移せる情報を迅速に届けることが狙いだ。
より機微な情報は、機密情報を扱う枠組みや個別企業との取り決め、または「トラステッド・グループ」と呼ばれる限定されたグループを通じて共有される。こうした枠組みにより、情報を配布できる範囲に応じた複数の共有経路が設けられる。
事業者にとって実務上の価値は、具体的な対応につなげられる警告を受け取れることにある。製品名、技術的な指標、企業のシステムに関する情報を活用すれば、一般的な警告を、対象を絞った点検や修正につなげられる。
複数の節目に分かれる導入計画
日本の法改正、組織の準備、技術面の運用は、それぞれ異なるスケジュールで進む。法制の一部は10月に施行された一方、導入日程では、通信情報の運用開始は翌年秋以降とされている。
政府の導入計画やその後の発表で示された主な節目は次の通りだ。
- 9月30日：国家サイバー統括室と内閣府が導入資料を公表。
- 10月1日：指定されたインフラ事業者との連携を含む組織体制が始動し、重大インシデントの報告義務も開始。
- 11月6日：高市首相が、能動的サイバー防御の情報収集を強化する法改正の検討を閣僚に指示。
- 翌年3月：すでに使用中の指定コンピューターシステムの届け出期限。
- 導入後4カ月以内：新たに導入した指定システムの届け出期限。
- 翌年秋以降：通信情報の運用開始予定。
段階的な導入により、通信情報の収集がすべて運用される前から、企業には報告や準備の義務が生じる。国内通信を対象に加える提案を実施するには、この導入計画に加えて法改正が必要となる。
要点
- 日本は、国内だけで行われる通信を能動的サイバー防御の情報収集の枠組みに加えることを検討している。
- 高市首相は11月6日の閣僚会議で、与党の提言を受け、情報収集を強化する法改正の検討を指示した。
- 緊急対策では、2026年度の予備費から100億円をサイバーセキュリティー対策に充て、警察の情報収集能力も強化する。
- 専門家による対応チーム、企業の被害回復支援、AI活用も対策に含まれる。
- 重要インフラの導入計画は15分野の258事業者を対象とし、システム一覧の提出と重大インシデントの報告を義務付ける。
- 通信情報の運用開始は、初期の組織整備や報告措置より後の予定となっている。
