サイバー危機に100億円――政府の緊急対策は企業と暮らしを守れるか

「また止まるかもしれない」――サイバー攻撃が日常を脅かす

商品を注文できない。取引先に納期を知らせられない。顧客が預けた本人確認書類の画像が、どこへ渡ったか分からない。サイバー攻撃を受けた企業にとって、被害はパソコンの画面の中では終わらない。物流、製造、決済、顧客対応という日常の仕事へ広がり、復旧の見通しが立たない時間そのものが損失になる。

こうした不安の中、政府は2026年11月６日、「サイバーセキュリティ緊急対策パッケージ」を決定した。高市早苗首相を議長とする関係閣僚会議で示されたのは、政府機関だけを守る発想から、企業・自治体・個人を含む社会全体の立ち直る力を高めようとする方針だ。初動の財源として2026年度予算の予備費から約100億円を支出することも決めた。

ただし「100億円で日本のサイバー被害が解決する」という意味ではない。政府の文書には実施済みの措置、これから立ち上げる組織、制度改正を検討する項目が混在する。何が決まり、何がまだ始まっていないのか。その区別こそ、今回の対策を評価する出発点となる。

100億円は何に使うのか――当面の費用と将来の約束

11月６日の閣議で決まった約100億円の予備費について、時事通信などの報道では、警察の捜査用資機材や人材育成に約41億円、デジタル庁の情報システム強化に約38億円、AIを活用した政府システムの脆弱性点検に約20億円とされる。金額はいずれも概数で、単純に合計して政策全体の総事業費とするのは正確ではない。

政府の緊急対策パッケージには、企業への専門家派遣、サプライチェーンの監視、自治体支援、データ流出後の二次被害対策など、今後具体化する施策も含まれる。首相は必要な追加的な財政措置の検討を求めた。予備費の決定、施策の採択、現場で実際にサービスを受けられる時期は、それぞれ別の段階にある。

新たな体制の効果を見るには、予算を使ったかどうかだけでなく、脆弱性が発見されてから是正されるまでの時間、被害企業への初動支援に要した時間、復旧に至った件数といった指標が必要だ。政府はそうした実績を今後どこまで公表するのか。

対策の四本柱――防ぐ、見つける、対処する、立て直す

政府文書が示す四本柱は、①AIも活用した基本的対策の徹底、②情報収集・集約と捜査・分析体制の強化、③攻撃への戦略的対処、④被害者支援・被害拡大防止である。この順序が重要だ。高度な対処能力を議論する前に、既知の脆弱性の放置、設定ミス、開発時の安全対策不足、委託先の管理不備を減らす必要があると政府自身が認めている。

基本的な手当てには多要素認証、ソフトウエア更新、資産管理、権限の見直し、復元可能なバックアップが含まれる。今回の政策文書では特に、必要以上に個人データを持たないことが明記された。侵入を完全に防げない時代には、盗まれ得る情報を最初から少なくしておく考え方が欠かせない。

「サイバーレジリエンス」は攻撃を一度も受けないという約束ではない。被害を早く察知し、広がりを止め、必要なサービスを戻す能力を含む。そのためには行政、経営者、現場の担当者、取引先が同じ危機を理解していることが必要だ。

AIは守り手にも攻撃者にもなる

経済産業省の施策として、情報処理推進機構（IPA）で高性能AIを活用する環境を整え、模擬攻撃によって弱点を見つける「トップガン人材」チームを11月中に立ち上げる方針が示された。政府・自治体の情報システムでもAIによる脆弱性診断を進める。一方で、パッケージはAIが攻撃の発見から実行までの時間を短縮し得ることにも警戒を示す。

AIを使えば安全になるという単純な構図ではない。自動診断が誤検知を生む場合、古い業務システムが過負荷になる場合、重大な欠陥が見つかっても修正する予算や運用者が足りない場合がある。現実の改善は「発見した弱点を誰がいつ塞ぐか」で決まる。

IPAの「情報セキュリティ10大脅威2026」では、組織向けの１位がランサム攻撃、２位がサプライチェーンや委託先への攻撃、３位に「AIの利用をめぐるサイバーリスク」が初めて選ばれた。AIと従来の基本対策を対立させるのではなく、両方を結び付ける設計が求められる。

攻撃される前に連絡する――「アウトリーチ」と「救援隊」

国家サイバー統括室は、攻撃の兆候や情報から危険が考えられる組織に能動的に接触する「アウトリーチ・チーム（仮称）」を11月中に設ける方針だ。被害を受けてから相談を待つのではなく、危険を知らせ、必要な確認や対策を促す仕組みである。

被害が実際に起きた際には、官民の専門家による「官民サイバー救援隊（仮称）」の派遣を構想する。ただし、すべての被害企業へ無条件に人員を派遣する制度ではない。被害組織の支援要請があり、必要性や緊急性が特に認められる場合を想定し、2026年度中の早期に事務局を設けて派遣開始の準備を進めると明記されている。

生命・身体・財産への重大な危害が生じ、安全保障や社会経済への大きな影響がある場合には、国家サイバー統括室、警察、防衛省・自衛隊などが関わる「ジョイント・レスポンス・チーム（仮称）」も構想される。名称が似ていても支援の対象、条件、段階は異なる。

中小企業の現実――サプライチェーンの一番細い部分

大企業は専門部門を持てても、地方の部品製造会社や小売店、工事業者には専任のセキュリティ担当者がいないことが珍しくない。ひとつの取引先の停止が、ほかの会社の生産や配送に波及する。データを委託先へ預けている場合、自社の管理外で被害が生じる可能性もある。

IPAが2021年から運用してきた「サイバーセキュリティお助け隊サービス」は、監視、相談、駆け付け支援、簡易保険などを組み合わせた民間サービスを認定する仕組みだ。今回の緊急対策では、被害時の復旧やバックアップの支援メニューを追加する方針が示された。制度がすでにあることと、新たな支援内容がどの地域の事業者にも直ちに提供されることは同義ではない。

一方、IPAが進める新類型の実証事業は、2026年３月末時点で従来のお助け隊サービスの累計導入企業数を約１万900社としている。規模の異なる事業者へ対策を普及させるには、価格、現場支援の範囲、専門人材の地方偏在という問題が残る。

2014年の基本法から2025年の国家サイバー統括室へ

日本のサイバー政策は今回初めて生まれたわけではない。2014年にサイバーセキュリティ基本法が成立し、翌2015年には内閣サイバーセキュリティセンター（NISC）が設置された。2022年12月の国家安全保障戦略では、サイバー安全保障の政策を一元的に調整する体制の強化が打ち出された。

2025年５月16日にはサイバー対処能力強化法と関連整備法が成立し、同年７月、NISCを改組して国家サイバー統括室（NCO）が発足した。攻撃基盤への「アクセス・無害化措置」を含む対応は、こうした法制度の上に位置付けられる。単に政府が外国のサーバーを自由に攻撃できると理解するのは不適切で、法令に基づく権限、手続き、監督との関係を区別する必要がある。

11月６日の緊急対策は、この十年以上の制度整備を実効的な被害対応へつなげる試みだ。制度名が増えるほど、被害企業にとって「誰に連絡すればよいか」が分かりにくくなる危険もある。一本化された案内と、迅速に動ける現場体制が試される。

漏れた情報は元に戻らない――本人確認と二次被害

政府のパッケージは、不正アクセスそのものに加え、流出した情報が詐欺、なりすまし、フィッシングなどへ転用される二次被害を重視する。個人情報保護委員会が10月７日に個人データの必要性確認と不要なデータの消去を注意喚起したことにも言及する。身分証画像や過去の顧客情報を、使い終わっても無期限に保存する慣行を見直すべきだという問題提起である。

被害を疑う消費者にとって必要なのは、正確な通知、変更すべき認証情報、相談先、注意すべき偽連絡の具体例だ。政府は消費者ホットライン「188」を含む窓口案内や、詐欺・誤情報への注意喚起の強化を掲げた。ただし「相談できること」と「被害の補償が約束されること」は別である。

通信事業者による不正サイトへのアクセス抑止策についても検討するとしたが、通信の秘密や正当な通信への影響を含む法的な課題がある。対策が必要だということと、どの方式でも許されるということは同じではない。

企業の経営者が今すぐ確かめたいこと

対策を国に任せるだけでは足りない。まず自社が使う公開ウェブサイト、VPN、クラウド、取引先のアカウント、外部委託のシステムを一覧にできるか。退職者や不要な権限が残っていないか。多要素認証は重要な管理者アカウントを含むか。バックアップはネットワークから切り離して復元テストを済ませたか。これらを経営会議で具体的に確認する価値がある。

さらに、事故が起きた初日に誰が判断し、どの外部専門家へ連絡し、顧客や取引先へ何を伝えるかを決めておく。被害の原因がまだ確定していない段階で断定的な説明をしない一方、必要な注意喚起を遅らせない。復旧の成功は技術だけでなく、経営判断と情報公開の質に左右される。

これは政府の施策一覧をそのまま企業へ義務として転記するものではなく、IPAの資料と一般的な事故対応原則に基づく編集部の実務的な確認事項である。具体的な法的義務は業種、漏えい情報、適用法令によって異なる。

「世界最高水準」の約束は、復旧までの時間で測れるか

政府は「世界最高水準のサイバーレジリエンス」を目指すという。だが、技術的に強い中央政府だけでは社会は強くならない。町工場、自治体の委託先、病院、物流事業者、海外の取引先まで、攻撃を受けた際に必要な支援へ到達できるかが重要になる。

11月中に発足する予定の専門チーム、2026年度中の早期に準備される救援体制、年始を目途としたサプライチェーン監視の実証。予定は示されたが、どの程度の迅速さで動き、どの企業が恩恵を受け、どれだけ被害を抑えたのかは、今後の検証を待つ。

日本のサイバー危機への対応は、100億円を支出するという決定で完結しない。攻撃を受けても暮らしや事業を立て直せる社会を、現場で実現できるか。次に問われるのは、実行と検証である。