サイバー攻撃に100億円の緊急対策――政府が「官民サイバー救援隊」構想、AIと情報共有は被害を減らせるか

標的は大企業だけではない

サイバー攻撃を受けた企業のパソコンが起動しなくなる。顧客情報が流出し、取引先から問い合わせが殺到する。工場は生産を止め、注文処理や配送の再開時期も見通せない。被害は画面の向こうで完結せず、働く人や顧客の生活に入り込む。日本政府が11月６日に打ち出した「サイバーセキュリティ緊急対策パッケージ」は、こうした連鎖を国全体の問題として扱う試みだ。

政府は同日の閣議で、当面の緊急措置に充てる予備費約100億円の使用を決定した。高市早苗首相は午後５時15分から開かれた第２回「サイバーセキュリティに関する関係閣僚会議」で、対策の早期実施を求めた。ただし、100億円は発表された全施策の完成費用を示すものではない。政府はパッケージ全体の財政措置について引き続き検討するとしている。

100億円は何に使うのか

財務省が11月６日に示した予備費の内訳は、政府機関などの重要システムでAIを活用した脆弱性点検に20億円、警察のサイバー対策用資機材の整備などに41億円、デジタル庁のシステムのセキュリティー強化に38億円。公表された項目を足すと99億円となるが、政府は総額を約100億円と説明している。数字の丸め方の差を、追加の用途が確認されたかのように読むべきではない。

資金配分は実務上の優先順位を映す。今あるシステムの弱点を点検し、捜査能力を高め、政府のデジタル基盤を守る。新しい法律や組織を作る話と、今すぐ発注・整備できる機器や点検の話を同じ「対策」として一括りにすると、何が始まったかが見えなくなる。

４本柱が描く国家の対応

首相官邸が示した４本柱は、①AIも活用した基本的な対策の徹底、②情報収集・集約と捜査・分析体制の強化、③サイバー攻撃への対処の戦略的な実施、④被害者支援と被害拡大防止策の強化だ。防御だけではなく、兆候の把握、事件への対処、復旧までを連続した仕事として捉える。

とりわけ注目されるのは「情報が集まる速度」である。首相は、重要インフラ事業者が攻撃を受けた場合、国家サイバー統括室にできれば数時間、少なくとも同日中に情報が届く仕組みを目指すよう指示した。これは報告を実際にすべて数時間で受けられる状態が実現したという意味ではない。報告手順、事業者の負担、情報の機密性を詰める必要がある。

「トップガン」と「救援隊」は何を担うのか

政府は、高度な技術者が模擬的な攻撃で脆弱性を調べる「トップガン人材チーム」や、官民の専門家が被害組織を支援する「官民サイバー救援隊」の構想を進める。報道で示された計画では、前者は11月中の立ち上げを目指し、後者は支援の必要性や緊急性が高い事案に対応するための調整体制を整える。

両者は同じ仕事をするわけではない。模擬攻撃による事前診断は「侵入される前」の活動であり、被害現場での初動調査、封じ込め、復旧支援は「侵入された後」の活動だ。支援の受付窓口、派遣対象、費用負担、民間技術者との契約上の責任について、全組織に適用できる詳細条件が出そろったわけではない。

AIが守る側にも攻める側にも

政府がAIに注目する背景には、攻撃者が既知の脆弱性をより速く探し、詐欺文面や偽装を大量に作ることへの懸念がある。一方で、防御側もAIを用いて設定ミスや脆弱性を洗い出し、異常な通信を見つけることができる。重要なのは、AIを導入したという事実ではなく、検出結果を検証する人材と改修の手順があるかどうかだ。

情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」組織編では、１位がランサム攻撃、２位がサプライチェーンや委託先を狙った攻撃、３位に初めて「AIの利用をめぐるサイバーリスク」が入った。３位はAIによる犯罪だけを指さない。AIに対する理解不足による情報漏えいや、生成結果を検証せず利用する危険も含む。

警戒すべきは「未知の技術」だけではない

目立つのは高度な攻撃だが、侵入の入り口が使い回された認証情報、更新されていないソフトウエア、外部委託先の弱点という場合もある。政府が「基本的な対策の徹底」を最初に掲げた意味は重い。弱点を発見しても改修されなければ、その発見は防御に変わらない。

IPAが2026年に公表した経営者向けのランサムウェア教訓集は、暗号化が発覚した時点では攻撃者の活動がすでに終盤にあることが多いと注意する。取引先への説明、証拠保全、復旧順位、業務を止める判断まで、事故の前に備えなければ初動で混乱する。

2000年代からの制度史をたどる

日本のサイバー政策は今回突然始まったわけではない。国家サイバー統括室の沿革によれば、2005年に内閣官房に情報セキュリティセンターが設置され、2014年にサイバーセキュリティ基本法が成立、2015年にはサイバーセキュリティ戦略本部と内閣サイバーセキュリティセンター（NISC）が設けられた。行政機関の情報システムを守る枠組みは、徐々に経済と安全保障を横断する政策へと広がった。

2022年の国家安全保障戦略は体制強化を掲げ、2025年５月には「サイバー対処能力強化法」と関連整備法が成立した。同年７月、NISCは「国家サイバー統括室（NCO）」に改組された。11月６日の緊急策は、こうした制度の上に重ねられる短期的な対策であり、法改正の検討と、すでに施行・運用されている仕組みを区別する必要がある。

能動的サイバー防御と、通信の秘密

近年の政策転換を象徴するのが「能動的サイバー防御」だ。深刻な攻撃の予兆を把握し、必要に応じて攻撃基盤に対処する考え方だが、国の権限が拡大するほど、適法性と監督の仕組みが重要になる。首相は11月６日、サイバー対処能力強化法の改正検討を指示した。改正がすでに成立したわけではない。

通信事業者による接続抑止策、いわゆるブロッキングの検討も報じられている。被害拡大の防止と、憲法上の「通信の秘密」、通信の自由、誤遮断の救済をどう両立するか。対策を急ぐ理由があるからこそ、対象、根拠、透明性、異議申立ての制度設計を具体的に問わなければならない。政府の「検討」を、今日から一般の通信が無条件に遮断されるという意味に読み替えるのは誤りだ。

中小企業の立場で見れば

顧客情報を預かる小さな診療所、数十人規模の製造業者、地域の小売店。専任のセキュリティ担当者を持たない事業者にとって、行政の窓口が増えただけでは十分ではない。何を最初にすべきかを示し、相談から技術支援への連携を途切れさせない仕組みが欠かせない。

10月26日の第１回関係閣僚会議で、首相はIPAや警察の相談対応の充実、自治体や民間との連携、中小企業への積極的な情報提供を求めた。今回の「救援隊」構想はその延長線上にある。ただし全ての被害企業に国費で専門家が即時派遣されると決まったわけではない。規模の小さい事業者が取り残されないかは今後の検証点となる。

企業と市民が今日できること

企業の経営陣に必要なのは、製品名を並べることより責任を決めることだ。重要なデータと委託先を把握し、多要素認証を導入し、機器やソフトウエアを更新し、復旧可能なバックアップを分離して確保する。事故時の連絡先と意思決定の順番を紙でも用意し、少なくとも一度は訓練する。どれも地味だが、攻撃を受けた後の時間を左右する。

情報漏えいの通知を受けた個人も、公式窓口から確認し、関連するパスワードの変更や多要素認証を検討したい。便乗する偽メールや偽サイトにも注意が要る。国家サイバー統括室は相談先・注意喚起をまとめた特設サイトを公開している。犯罪被害や個人情報の問題ごとに案内先は異なるため、一つの番号で全てを解決できるわけではない。

政策の成否を測る物差し

予算の成立、専門チームの創設、関係閣僚会議の開催は目に見える。しかし、社会が本当に必要とする成果は別にある。脆弱性が発見されてから塞がれるまでの期間は短くなるか。被害組織への支援は早まるか。重要インフラの報告と業務復旧は改善するか。発生した事故から学んだ対策が、別の会社へ届くか。

100億円は危機対応の出発点であって、信頼を買い戻す価格ではない。サイバーセキュリティーは一部の技術者に任せる「ITの問題」から、社会の業務継続と公共の安全に関わる問題へ変わった。今回の政策が歴史の転機として記憶されるかどうかを決めるのは、発表の大きさではなく、攻撃を受けた人と企業が実際に立ち直れるかどうかだ。