能動的サイバー防御とは？中小企業が知るべき制度と自社対策の基本

「能動的サイバー防御」という言葉をニュースで聞いても、自分の会社にどのような関係があるのか分かりにくいと感じる経営者は少なくないでしょう。特に建設業では、図面、工程表、現場写真、顧客情報などをデジタルで扱う機会が増え、国の制度と自社の情報管理を分けて理解することが重要になっています。

この記事では、能動的サイバー防御の基本、関連法の概要、対象となる事業者の考え方、そして中小企業が今できる対策を整理します。制度の専門用語を覚えることよりも、会社を守るために何を確認するかを重視します。

1．能動的サイバー防御とは何か

能動的サイバー防御は、重大なサイバー攻撃が発生してから対応するだけでなく、攻撃の兆候を把握し、被害の未然防止を図る考え方です。日本では、国や重要インフラなどの安全を確保するため、法律に基づく仕組みの整備が進められています。

ただし、「能動的」という言葉は、企業が自由に攻撃者のシステムへ侵入してよいという意味ではありません。法律上のアクセス・無害化措置には実施主体、要件、手続などの制約があります。

2．なぜ日本で制度が整備されたのか

サイバー攻撃によって、重要なシステムが停止したり、機密情報が窃取されたりするリスクが問題となっています。電力、通信、交通など、社会を支えるサービスへの攻撃は、利用者や取引先にも影響する可能性があります。

こうした背景から、日本では国全体のサイバー安全保障を強化するための制度が検討されてきました。企業にとっては、サイバーセキュリティが単なるIT部門の問題ではなく、事業継続に関わる経営課題であることを示す動きといえます。

3．関連する法律と制度の全体像

2025年5月16日、サイバー対処能力強化法と同整備法が成立し、同月23日に公布されました。正式名称や条文、施行状況は、内閣府や国家サイバー統括室が公開する資料で確認できます。

制度には施行時期や詳細な命令・運用ルールが関係します。ニュースの見出しだけで、すべての企業に同じ義務が発生したと判断しないことが大切です。

4．従来の対策と何が違うのか

従来から企業は、ウイルス対策、更新、アクセス制限、バックアップなどによって自社のシステムを守ってきました。一方、能動的サイバー防御は、国が重大な攻撃の兆候や攻撃基盤に関する情報を扱い、被害の未然防止につなげる仕組みを含みます。

5．対象となる事業者の考え方

関連法では、特別社会基盤事業者などに関する制度が設けられています。対象や具体的な義務は、法令上の定義、事業の内容、指定などによって判断されるため、「大企業だから対象」「中小企業だから対象外」と単純には決められません。

また、法定の報告義務の対象であるかどうかと、サイバー攻撃の被害を受ける可能性があるかどうかは別問題です。自社が制度の直接の対象でなくても、重要な取引先との情報共有や事業継続への備えは必要です。

6．通信情報の分析と官民連携

能動的サイバー防御に関する制度には、法律に基づく通信情報の取得・分析や、官民での情報共有などが含まれます。攻撃の兆候を把握し、被害の拡大を防ぐために、関係機関が連携することが想定されています。

一方で、通信情報の扱いには通信の秘密やプライバシーに関する重要な論点があります。制度は無制限の情報収集を認めるものではなく、法律上の条件や監督の仕組みと併せて理解する必要があります。

7．アクセス・無害化措置とは

アクセス・無害化措置は、重大なサイバー攻撃による被害を防ぐため、法律で定められた要件の下で行われる措置です。一般の企業が攻撃元と思われるサーバーへ勝手にアクセスしたり、停止させたりしてよいという制度ではありません。

自社が不正アクセスを受けた場合は、証拠を保全し、専門家や関係機関へ相談することが基本です。相手への反撃を試みると、違法行為や被害拡大につながるおそれがあります。

8．中小企業や建設会社への関係

建設会社は、現場写真、施工図面、見積書、工程表、顧客の連絡先などを日常的に扱っています。これらの情報が使えなくなったり、誤った相手に送られたりすると、確認作業の増加や取引先対応が必要になる場合があります。

たとえば、協力会社を装ったメールで共有ファイルの認証情報を入力してしまうケースや、クラウドに保存した図面へアクセスできなくなるケースが考えられます。これらは想定されるリスクの例であり、今回のニュースで発生が確認された事故を示すものではありません。

9．国の防御と自社の対策は別の役割

国が重大なサイバー攻撃への対応能力を強化しても、個々の会社が日常的に行うパスワード管理やバックアップが不要になるわけではありません。むしろ、社会全体の対策と自社の対策を組み合わせることが重要です。

建設業では、元請、下請、設計会社、資材会社など、多くの関係者がデータを共有します。自社だけでなく、共有先、権限、退職者のアカウント、緊急時の連絡先まで確認しておくと、事故時の混乱を減らせます。

10．経営者が決めたい初動対応

不審なメールを開いた、アカウントが乗っ取られた、共有ファイルが突然使えなくなったといった異常に気づいた場合、最初の連絡先を決めておくことが大切です。担当者が不在でも対応できるよう、社長、現場責任者、IT委託先などの役割を整理します。

11．今すぐ実行できる基本対策

メールとクラウドに多要素認証を設定する

見積書や図面を保存するメール・クラウドのアカウントから優先して、多要素認証の設定状況を確認します。共有アカウントの使い回しを減らし、誰がアクセスできるかを把握することも大切です。

スマートフォンとパソコンを更新する

現場で使う端末を含め、OSや業務アプリの更新状況を確認します。古い端末や使用していないアプリが放置されていないかも点検します。

図面・工程表・顧客情報をバックアップする

バックアップを保存するだけでなく、必要なデータを実際に復元できるか確認します。バックアップ先への不正アクセスや同時被害を避けるため、保存先の分離やアクセス権も検討します。

事故時の連絡先を紙でも残す

メールやクラウドが使えない状況に備え、IT委託先、主要取引先、社内責任者の連絡先を別の手段でも確認できるようにします。情報を扱う責任者と連絡の順序を決めておくと、初動の遅れを減らせます。

12．社長のための10項目チェックリスト

すべてを一度に完璧にする必要はありません。まず現状を確認し、未対応の項目に担当者と期限を決めることから始めましょう。

1. 会社で使うメールアカウントを把握している
2. 重要なアカウントに多要素認証を設定している
3. 現場スマートフォンの更新状況を確認している
4. パソコンと業務ソフトの更新担当者が決まっている
5. 図面・工程表・見積書の保存先を把握している
6. 重要データのバックアップを実施している
7. バックアップから復元できるか試している
8. 協力会社とのファイル共有権限を確認している
9. 退職者や異動者のアカウントを整理している
10. サイバー事故発生時の連絡先と責任者を決めている

13．まとめ｜制度を知り、自社の守りを固める

能動的サイバー防御は、重大なサイバー攻撃への対応能力を高めるための国の取り組みです。関連法の成立によって制度整備が進んでいますが、対象事業者や個別の義務は法令に沿って確認する必要があります。

中小企業の経営者にとって大切なのは、ニュースを理解したうえで、自社の情報管理を見直すことです。特に建設会社では、現場と事務所の両方で使うデータを守り、万一の際に工事を続ける準備をしておきましょう。

公的な一次情報

• 内閣官房｜サイバー安全保障に関する取組
• 内閣府｜サイバー安全保障
• 国家サイバー統括室｜関連法令
• IPA｜情報セキュリティ

※本記事は公表された制度の概要と一般的な対策を整理したものです。企業の指定状況、法的義務、施行時期、個別の事故対応は、最新の法令や所管官庁の情報に基づいて確認してください。