能動的サイバー防御とは｜サイバー対処能力強化法をやさしく解説

「攻撃されたら対処する」から「攻撃される前に対処する」へ。日本のサイバーセキュリティ体制は今、大きな転換点を迎えています。2025年に成立した「サイバー対処能力強化法」により、2026年から段階的に「能動的サイバー防御」という新しい枠組みが動き出します。名前は聞いたことがあっても、具体的に何が変わるのか、自社は対象になるのかがわかりにくい制度でもあります。この記事では、制度の中身と、諸外国との考え方の違いをやさしく整理します。

「受動的」から「能動的」へ

これまでの日本のサイバー防御は、法制度上「攻撃を検知し、被害を食い止める」ところまでが基本でした。攻撃元のサーバーに踏み込んで機能を止めるといった対応には、法的な根拠が明確に整っていませんでした。この状況を変えるのが、2025年5月16日に成立し、5月23日に公布された「重要電子計算機に対する不正な行為による被害の防止に関する法律」および関連法、通称「サイバー対処能力強化法」です¹。この法律により、警察・自衛隊が一定の要件のもとで攻撃サーバーへの「アクセス・無害化措置」を取れるようになるなど、日本のサイバー防御は「受動」から「能動」へと大きく舵を切ります。

制度を支える4つの柱

サイバー対処能力強化法は、大きく4つの柱で構成されています。

このうち特に注目されているのが「通信情報の利用」です。日本国憲法は通信の秘密を保障しており、政府が通信内容を無制限に見られるわけではありません。そこで法律では、対象を「通信内容そのもの」ではなくIPアドレスや通信のタイミングといった情報（外形的情報）に限定し、「サイバー通信情報監理委員会」という第三者機関の承認を経ることを条件にしています²。

施行はいつから？段階的なスケジュール

法律は一度に全面施行されるのではなく、4段階に分けて順次スタートします。

法律の公布（2025年5月23日）から数えて、大部分の規定は1年6か月以内（＝2026年中）に施行され、通信情報の利用に関わる規定はより慎重な準備期間として2年6か月以内の施行が予定されています³。「2026年10月に全部が一斉に始まる」という単純な話ではなく、段階を踏んで運用が積み上がっていく制度だと理解しておくとよいでしょう。

誰が対象になるのか

対象となる事業者は、大きく3つの類型に分かれます。

事業者の類型	具体例	主な義務
基幹インフラ事業者（特定社会基盤事業者）	電力・ガス・石油・水道・鉄道・金融・医療など15分野、報道では257社程度が指定	特定重要電子計算機の届出、インシデントの通知・報告、協議会への参加
電気通信事業者	通信キャリア、ISPなど	厳格な手続きのもとでの通信情報の提供
ITベンダー・関連企業	基幹インフラ事業者向けのシステム開発・保守事業者	直接の法的義務は限定的だが、取引先からのセキュリティ要求増加が見込まれる

基幹インフラ事業者が報告義務を怠った場合、最大200万円の罰金が科される規定も設けられています⁴。自社が直接の指定対象でなくても、基幹インフラ事業者のサプライチェーンに含まれる企業は、契約上のセキュリティ要求が強まる可能性が高く、サプライチェーンのセキュリティの見直しが実務上のポイントになります。

国際比較：同じ言葉でも中身は違う

「能動的サイバー防御」という言葉は各国で使われていますが、実は指している内容が国によってかなり異なります。誤解しやすいポイントなので、代表的な3か国を比較してみましょう。

国・地域	呼び方	主な中身	担う組織
日本	能動的サイバー防御	攻撃兆候の段階での通信情報分析、攻撃サーバーへのアクセス・無害化	警察・自衛隊、国家サイバー統括室
米国	Defend Forward／Persistent Engagement（前方防衛・継続的関与）	自国境界の外（敵対国のネットワークなど）で先制的・継続的に活動し、攻撃を未然に妨害する	サイバー軍（USCYBERCOM）
英国	Active Cyber Defence（ACD）	国内組織向けに無料提供する大規模な自動防御サービス群（迷惑メール検知、フィッシングサイトのテイクダウンなど）	国家サイバーセキュリティセンター（NCSC）

米国の「Defend Forward（前方防衛）」は、2018年の国防総省サイバー戦略で明確化された考え方で、攻撃が自国に届く前に、敵対的なネットワークの内部で継続的に活動して脅威を検知・妨害するというものです⁶。日本の新法も「攻撃を受ける前に対処する」という発想は共通していますが、対象は主に国内の基幹インフラ防護に絞られており、通信の秘密という憲法上の制約から、第三者機関のチェックを経る仕組みが組み込まれている点に日本らしい特徴があります。

企業が今から準備すべきこと

インシデント対応の手順化についてはインシデント対応の記事で詳しく扱っています。また、基幹インフラの一部を担う企業は、境界だけに頼らない防御思想であるゼロトラストの考え方とも相性がよく、あわせて検討する価値があります。

まとめ

• 能動的サイバー防御は、攻撃の兆候段階から対処する新しい防御の考え方で、根拠法「サイバー対処能力強化法」は2025年5月成立、2026年にかけて段階的に施行される
• 制度は「官民連携」「通信情報の利用」「アクセス・無害化措置」「体制整備」の4本柱で構成され、基幹インフラ事業者には届出・報告義務が課される
• 通信の秘密という憲法上の制約から、通信情報の利用には第三者機関の承認という歯止めが組み込まれている
• 「能動的サイバー防御」という同じ言葉でも、米国は先制的な対外活動、英国は国内向けの自動防御サービスを指すなど、国によって中身が異なる
• 直接の対象でない企業も、取引先経由でセキュリティ要求が強まる可能性があり、早めの準備が望ましい

もう少し詳しく（背景）

制度が整っても、実際に動かすのは「人」です。日本はセキュリティ人材が慢性的に不足しており、国家資格「情報処理安全確保支援士」の登録者数は、政府が掲げる「2030年に5万人」という目標に対してまだ届いていないのが実情です⁷。能動的サイバー防御の運用には、通信情報を分析する専門人材や、基幹インフラ側でインシデント対応にあたる実務者が数多く必要になるため、人材育成は制度の実効性を左右する最大の課題ともいわれています。

また、この分野は経済安全保障とも密接に関わっています。政府から機微な情報を受け取る民間人材の適格性を確認する「セキュリティクリアランス制度」とも連動する場面があり、基幹インフラ事業者にとっては単なる技術対応にとどまらず、組織のガバナイス全体を見直す機会にもなります。守る側の人材需要が高まっているという意味では、この分野を今から学んでおくことは、キャリアの選択肢としても価値があります。まずはサイバーセキュリティとは？から全体像をつかみ、サイバー関連法規で法制度の土台を押さえておくのがおすすめです。

Footnotes

1. 正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律等の一部を改正する法律」等を含む関連法群の通称。2025年5月16日成立、同月23日公布。 ↩

2. 「サイバー通信情報監理委員会」は、政府による通信情報の取得・利用が通信の秘密を過度に侵害しないよう事前・事後にチェックする第三者機関として2026年4月に設置される。 ↩

3. 施行スケジュールは公布日（2025年5月23日）を起点に、大部分の規定が1年6か月以内、通信情報利用に関する規定が2年6か月以内とされている。詳細な運用時期は政令・関連告示で順次確定する。 ↩

4. 基幹インフラ事業者による届出義務・報告義務違反時の罰金は最大200万円とされている。 ↩

5. 英国の攻勢的サイバー作戦は、政府通信本部（GCHQ）と国防省が共同で運営する「国家サイバー部隊（National Cyber Force）」が担い、NCSCの「Active Cyber Defence」プログラムとは組織・目的ともに別立てになっている。 ↩

6. 米国の「Defend Forward（前方防衛）」「Persistent Engagement（継続的関与）」は、2018年の国防総省サイバー戦略で明確化された考え方で、サイバー軍（USCYBERCOM）が自国境界の外で継続的に活動し、脅威を早期に妨害することを狙いとしている。 ↩

7. 国家資格「情報処理安全確保支援士」の登録者数を2030年までに5万人とする政府目標が掲げられているが、2026年時点でも需要に対して人材供給が追いついていないと指摘されている。 ↩