自民党の党国家サイバーセキュリティ戦略本部（本部長・平将明衆院議員）は10月9日、不正アクセスによって民間企業から個人情報が漏えいした事案などについて政府から説明を受け、原因と再発防止策を議論した。党が14日、公式サイトで会合の内容を公表した。平本部長は「サイバーセキュリティは新しいフェーズに入り、現在は非常事態、有事という状況」と指摘し、「政府だけではなく国民も意識を持ってこの有事に立ち向かうことが重要」と強調した。

政府「関連性やAIの悪用は明らかではない」

党の発表によると、会合では内閣官房国家サイバー統括室が一連の事案について説明した。統括室は、現時点では事案どうしの関連性や、攻撃へのAIの悪用は明らかではないとしたうえで、速やかに対応すべき点が3つあると述べた。

1点目は、ウェブシステムの脆弱性（ぜいじゃくせい）に関するリスクを適切に判断し、アップデートなどを迅速に行うこと。2点目は、業務を委託している先の企業のセキュリティ対策の状況を把握し、情報を共有する範囲を適正にすること。3点目は、重要な情報資産のうち管理の対象を明確にし、不審なアクセスを監視・分析することだ。

会合ではこのほか、個人情報保護委員会がこれまで進めてきた個人情報の漏えい防止の取り組みと、経済産業省が推進する中小企業向けの「サイバーセキュリティお助け隊サービス」についても説明があった。出席した議員からは、国民の安心をどう守るかをめぐって意見が出たという。党の発表は、議員の具体的な発言や、党として政府に何を求めるかには触れていない。

党国家サイバーセキュリティ戦略本部は、サイバー分野の政策を扱う党の組織だ。会合が開かれた9日は、統括室、情報処理推進機構（IPA）、金融庁がそろって事業者向けの注意喚起を出した日にあたる。

統括室が示した「三つの柱」

統括室は9日、「不正アクセスによる漏えい等の事案を踏まえた対応について」と題する文書を公表した。冒頭で、ウェブシステムの脆弱性の悪用、サプライチェーン（取引の連鎖）を通じた侵害、堅牢（けんろう）さを欠くデータ管理などにより、大量の個人情報を扱う事業者の情報システムが侵入され、個人情報を含むデータが盗まれる事案を「複数確認」していると明らかにした。そのうえで、大量の個人情報や機微な情報を扱う事業者に、対策の徹底を速やかに検討するよう求めている。

文書の柱は「ウェブシステム等の適切な管理」「サプライチェーンを通じた侵害への対策」「データの適切な管理」の三つで、会合で示された3点とおおむね重なる。各機関の注意喚起の全体像は「大規模漏えい相次ぎ、国と専門機関が3日で注意喚起　委託先の点検や不要データの消去を要求」にまとめている。

一つ目のウェブシステムについては、インターネットに公開しているシステムは特に狙われやすいとして、「いつ攻撃を受けてもおかしくない」という前提で備えるよう求めた。脆弱性の情報が公表されると、攻撃者は短期間で悪用を始める場合があるため、修正プログラムの適用を後回しにせず、インターネットに公開していない内部のサーバーも含めて対応するよう書いている。具体的には、OSやCMS（ウェブサイトの管理システム）などの更新を速やかに当てる、サポートが切れた製品を使わない、使っていないシステムや機能は止めるか削除する、といった項目を挙げた。

認証の面では、多要素認証の導入、推測されやすいパスワードの禁止、退職者や異動者のアカウントの速やかな無効化を求めた。さらに「侵入を完全に防ぐことは困難」として、ログを取って保管し、不審な通信や大量のアクセスを監視するなど、侵入された後に早く気づくための備えも挙げている。

委託先と「持ちすぎない」管理

二つ目の柱は委託先だ。文書は、攻撃者が比較的守りの弱い委託先を足がかりに侵入し、その後、標的の企業へアクセスを広げる手口を使うことがあると説明している。そのため「委託先企業と共に管理する」という認識で対策を取るよう求めた。

具体的には、委託先の管理体制や責任の分担を確かめ、再委託先も含めて状況を把握すること、契約を結ぶ時だけでなく継続して確認すること、契約に不正アクセスや漏えいが起きた際の報告義務を書き込むことを挙げた。委託先に渡す個人情報は必要最小限にとどめ、業務が終わったら委託先でデータを消すよう徹底することも求めている。

三つ目のデータ管理では、近年の攻撃者は盗んだ情報を公開すると脅したり不正に売買したりと、情報そのものを狙う傾向を強めていると指摘した。まず自社がどこにどんな情報を持っているかを把握し、利用目的を終えた情報は速やかに消すよう求めている。漏えいが起きても、持っている情報が少なければ被害の拡大を抑えられるためだ。保存データや通信の暗号化、パスワードを平文で保存しないこと、クラウドのデータベースの公開設定を確かめることも並べた。

文書は最後に、AIの悪用を含む攻撃の手口が高度化しているとして、経営層に対策を経営課題と位置づけ、必要な投資や人員の手当てを含めて強化するよう求めた。被害を受けた組織には、攻撃の技術的な情報を統括室や所管省庁に速やかに共有するよう呼びかけている。

IPAと金融庁も同じ日に注意喚起

IPAも9日に注意喚起を出した。国内の金融機関や通信事業者など幅広い事業者から不正アクセスによる情報漏えいの公表が相次いでおり、特に大量の個人情報を扱うオンラインサービスのシステムが侵入されてデータが盗まれる事案が続いているとしている。各アプリケーションやサービスごとに直近のログに異常がないかを確かめ、「直近1ヵ月、その後3ヵ月」と段階を踏んで範囲を広げるよう求めた。IPAは16日には不正アクセス対策の特設サイトを公開し、事業者向けの特別相談窓口を案内している（IPA、不正アクセス被害の企業向けに特別相談窓口　初動対応を電話で助言、専門業者も紹介）。

金融庁は同じ9日、金融機関などに対し、サイバーセキュリティ対策の強化と各種の取引申し込みへの対応について注意喚起した。インターネットに公開している顧客向けサービスや業務システムへの不正アクセスが相次ぎ、運転免許証などの本人確認書類の画像を含む顧客情報が漏れる事案が起きていると指摘した。オンラインで本人確認をする際には、犯罪収益移転防止法などに基づいて書類の厚みや本人の顔写真なども確認することになっているとして、なりすましの手口が巧妙になる中で金融サービスの不正利用を防ぐよう求めている。

中小企業向け「お助け隊」　利用は1万件超

会合で取り上げられた「サイバーセキュリティお助け隊サービス」について、党は同じ14日に別の記事でも紹介した。国が仕組みをつくり、IPAが実施主体となっているもので、中小企業に必要な「見守り」「駆け付け」「保険」をひとまとめにして安く提供する。党の記事によると、全国47の事業者がサービスを提供し、利用実績は約1万900件（2026年3月時点）にのぼる。

IPAのサイトも、これまでに全国で1万社を超える企業が導入したと説明している。経済産業省とIPAは、この制度を中小企業のサイバー対策を支える取り組みとしており、導入費用を「デジタル化・AI導入補助金」の対象にするなどの支援もしてきたという（中小企業のサイバー対策、15事業者が1年間無償で伴走　IPAが10月から実証　ランサム被害226件の約6割が中小企業）。

今回、党が公表したのは政府からの説明の聴取と議論までで、法改正や予算措置などの具体策には触れていない。政府側も、事案どうしの関連性や攻撃の手口の全体像はまだ明らかにしていない。平本部長は、政府だけでなく国民も意識を持つ必要があると訴えている。