高市早苗首相は11月6日、首相官邸で第2回サイバーセキュリティに関する関係閣僚会議を開き、「緊急対策パッケージ」の案を議論したうえで、古川サイバー安全保障担当相にサイバー対処能力強化法の改正の検討を指示した。基幹インフラ事業者が攻撃を受けた情報を「できれば数時間、少なくとも同日中」に国へ伝えることも目指すよう求めた。同日の閣議では、対策に充てる約100億円の予備費の使用を決めている。
4本柱のパッケージ、本文の掲載は確認できず
会議は、企業への攻撃で大規模な情報漏えいが相次いだことを受けて10月26日に初会合を開いた。首相はこのとき「来週中を目途に」パッケージをまとめると述べており、経緯はサイバー対策の関係閣僚会議が初会合 首相、来週中に「緊急対策パッケージ」にある。
官邸の発表によると、6日の議題は「サイバーセキュリティ緊急対策パッケージ」（案）だった。首相はまとめの発言で、パッケージは官房長官を中心に出席した全閣僚が「早期に実施すべき施策」を取りまとめたものだと説明し、4つの柱を挙げた。
1つ目は、AIも活用した基本的な対策の徹底である。2つ目が情報収集・集約、捜査・分析体制の強化、3つ目がサイバー攻撃への対処の戦略的な実施、4つ目が被害者支援・被害拡大防止策の強化となっている。首相は各閣僚に、「サイバーレジリエンスの向上」と「国民の皆様の不安の払しょく」につなげるよう求めた。サイバーレジリエンスは、攻撃を受けても被害を抑え、早く復旧する力を指す。
ただし、柱ごとの具体策と工程は分かっていない。本紙が7日昼の時点で官邸の会議のページ、国家サイバー統括室のトップページと新着情報、内閣官房のサイバー安全保障のページを確認したところ、パッケージの本文は見当たらなかった。この記事は、首相の発言と公表された予算資料、法令の範囲で書いている。
「数時間」の目標、現行の定めは「速やかに」
具体的な指示のうち、企業の実務に最も関わるのが報告の時間である。首相は、AI時代の攻撃の速度に対応するため、国家サイバー統括室への情報集約に要する時間を「大幅に短縮する」必要があると述べた。そのうえで、基幹インフラ事業者からの報告について「できれば数時間、少なくとも同日中には、攻撃を受けた旨の情報が伝わるようにすることを目指してください」と求めた。
基幹インフラ事業者は、電気やガスなどの重要な設備を持つ事業者として国が指定する。サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律）は第5条で、こうした事業者が重要なコンピューターへの攻撃を認知したとき、所管大臣と首相に報告する義務を定めている。
報告の時期は、関係府省の共同の命令に書かれている。命令は、発生を認知した後「速やかに」、その時点で分かっている事項の報告書を出し、認知した日から「三十日以内」に改めて報告書を出す2段階とした。「速やかに」に時間の数字は付いていない。
首相の発言は「目指してください」という形で、命令に時間の数字を入れるのか、運用で短くするのかは明らかにしていない。
法改正の検討、通信情報の章は未施行
法改正の指示は、「日本を標的としたサイバー攻撃を把握するための情報収集能力」を強化するためだと首相は説明した。あわせて、政府機関などに加えて民間企業への不審な通信を国家サイバー統括室が把握・分析できる仕組みについて、「主要国の例を参考にしながら」検討するよう古川氏に求めている。
この法律は段階的に施行されている途中である。e-Gov法令検索の記載では、報告義務の章を含む本体が2026年10月1日に施行された。一方、通信情報の取得と取り扱いを定める第3章から第7章は、施行が2027年11月22日の予定となっている。附則は、これらの規定の施行後3年をめどに、報告や通信情報の取得の状況を検討すると定めた。今回の指示は、その見直しの時期を待たずに改正を検討する内容である。
IT機器やシステムの調達を通じた危険についても、首相は「見過ごすことはできません」と述べた。政府システムの点検を進め、官民で危険を減らすために必要な制度を、国家安全保障局を中心に検討するよう指示している。現行法の第42条は、国が機器やプログラムの供給者に脆弱性の情報を提供し、資料の提出を求められる仕組みを置くが、供給者が求めに応じることは努力義務である。
与野党はすでに対応を促していた。自民党の国家サイバーセキュリティ戦略本部は10月20日付の提言で、官邸主導の「サイバー対処本部（仮称）」の設置を求めた（サイバー対策で自民が首相に提言 マイナカード取得の義務付け検討、官邸に「対処本部」）。6日の首相の発言に、この本部への言及は無い。国民民主党の玉木雄一郎代表は10月27日の会見で、攻撃型AIを念頭に「アクティブサイバーディフェンス2.0」といった制度や法改正の必要性を提案するとしていた。
予備費約100億円、最多は警察の41億円
首相は「直ちに必要となる」費用として約100億円の予備費を措置したと述べた。閣議決定の額は99億5913万3千円で、片山さつき財務相は閣議後の会見で使途を説明した。
| 所管 | 額 | 使途 |
|---|---|---|
| 内閣官房 | 20億4373万1千円 | AIを活用した政府機関等の重要システムの脆弱性の検証 |
| 警察庁 | 41億1588万5千円 | サイバーセキュリティ対策資機材の整備など |
| デジタル庁 | 37億9951万7千円 | デジタル庁のシステムのセキュリティ強化 |
| 合計 | 99億5913万3千円 |
警察庁の要求書の別紙によると、最も大きいのは警察活動基盤整備費の中のライセンス料で15億7630万1千円だった。同じ費目の資機材購入費等が11億8519万2千円、端末購入費等が9億548万2千円と続く。サイバー警察費には研修費用等の2億376万円も入った。内閣官房の20億円余りは、ライセンス料等の区分で計上している。デジタル庁分の内訳は政府、サイバー対策に予備費約100億円 デジタル庁分の9割は不正アクセスを受けたGSS向けで詳しく扱った。
今回の使用後の予備費の残額は6989億5517万6千円である。首相は、パッケージ全体に必要な財政措置について、財務相と関係閣僚に「更に検討・調整を進めて」と求めた。全体の額は示されていない。
報告の時間は命令に数字で書くべきではないか
攻撃を受けた後の数時間で国が情報を握れるかどうかは、同じ手口の攻撃をほかの事業者へ広げないための条件になる。法の全面施行を待たず、改正の検討まで踏み込んだ判断は、日本の防御力を上げる方向として妥当である。発言の中身が情報の集約、民間への通信の把握、調達の危険と具体的である点も、初会合より前に進んだ。
そのうえで、基幹インフラを使う国民の立場から2点を問いたい。1つは、「数時間」を目標のままにしないことである。現行の命令の「速やかに」には時間の数字が無く、事業者ごとに受け止めが分かれ得る。命令は初回の報告を分かっている事項に限っているので、時間を数字で定めても、事業者に調査の完了までは求めない。古川氏を中心に、関係府省の命令の見直しまで検討すべきではないか。
もう1つは、国民負担の見通しである。予備費の約100億円は「直ちに必要」な分にとどまり、全体の額は今後の調整に委ねられた。パッケージは国民の不安の払しょくを掲げている。防御の手の内を除いた本文と全体の費用を公表してこそ、その目的に沿う。政府は次の予算編成までに、パッケージの工程と額を示すべきではないか。