サイバー攻撃を「受けてから守る」だけじゃない？日本の新制度をやさしく整理

家の鍵を二重にしても、泥棒が使う道具や連絡網まで追いかけるのは難しい。サイバー防御にも、似た悩みがあります。自分の会社や役所を守るだけでなく、攻撃に使われている機器を止められないか。日本では2026年10月1日から、そのための法制度の一部が動き始めました。

ただし「政府が怪しいサーバーなら何でも操作できる」という話ではありません。防衛省の説明では、自衛隊の措置は、重要な電子計算機に対する攻撃で、国外の主体による特に高度に組織的・計画的な行為と認められ、自衛隊が対処する特別な必要がある場合が前提です。内閣総理大臣の命令、防衛大臣の指揮、警察との共同対処が定められ、独立機関の承認や外務大臣との協議も必要とされています。

たとえるなら、火事を見つけた人がその場で隣の家を壊してよい、という仕組みではありません。被害を止める必要性、対象、手続きを確認してから動く設計です。なぜ慎重さが要るのでしょう。攻撃に使われた機器が、乗っ取られた第三者のサーバーや海外のインフラである可能性もあり、誤認や過剰な措置は別の被害や外交上の問題につながり得るからです。

経済への影響は、法律ができた瞬間に攻撃被害が消えることではありません。重要インフラの事業者には、政府との情報共有や、事故時の連絡・復旧手順を整える重要性が増します。制度がうまく働けば、サービス停止が広がる前に脅威を抑えられる可能性があります。一方、どの案件で何件の措置が実施されたか、被害をどれだけ防いだかは、現時点で公表資料からは確認できません。

ここで見ておきたいのは「強い権限か、弱い権限か」だけではありません。攻撃を止める実効性と、誤って関係のないシステムを傷つけない統制を、同時に保てるかです。制度の開始は確認できましたが、実際の運用評価はこれから。今後は、政府の運用報告、監督機関の公表、重要インフラ事業者の復旧時間や情報共有の実績が、制度の働きを測る手掛かりになります。