政府は、電力や金融など重要インフラ産業を対象とするサイバー攻撃への備えを強化し、2031年度末までに、国の防護基準に沿ったサイバー攻撃対策を講じた企業の割合を100％にする目標を掲げた。重要インフラを含む分野での対策を引き上げ、被害の未然防止と影響の最小化を図る方針だ。
事案の詳細
報道によると、政府はサイバー攻撃への対応を巡り、電力・金融などの重要インフラ産業に属する企業について、国が定める防護基準に沿ったサイバー攻撃対策を実施している企業の割合を、2031年度末までに100％とする目標を定める方針を固めた。対象となる分野は、社会機能の維持に直結する重要インフラ産業であり、サイバー攻撃の脅威を踏まえて防護水準の底上げを進める考えだ。
今回示されたのは、攻撃が発生してからの対応にとどまらず、平時から防護基準に沿った対策を整備・強化する考え方に基づく目標である。目標年度を明確に置くことで、関係主体が対策を段階的に進めるための指針とする狙いがある。
報道では、この取り組みが高市政権が掲げる「危機管理投資」の一環として位置付けられていることが示されている。また、人工知能（AI）の性能向上によりサイバー攻撃を受ける危険性が高まっている点が背景として挙げられ、政府全体でサプライチェーン（供給網）の強化に取り組む狙いがあるとされている。
さらに、この目標は、近く取りまとめられる日本の成長戦略に盛り込まれる方針であり、防護基準自体は今夏に策定される予定と報じられている。一方で、具体的なサイバー攻撃の手口や個別の被害事例、各企業における達成方法の詳細については、現時点の報道からは確認できず、詳細は現時点で不明である。
影響と背景
重要インフラ産業は、国民生活や経済活動の継続に欠かせない基盤であり、サイバー攻撃が発生した場合の影響は広範になり得る。電力や金融といった分野でサービスが停止・混乱すれば、社会や経済、国家安全保障に直接的な打撃となる可能性がある。
成長戦略案では、サイバー攻撃について「国家を背景としたものを始め、巧妙化、高度化されており、経済社会や国家安全保障に対する脅威となっている」と言及しており、政府はこうした脅威認識を踏まえて、防護水準を一律に引き上げる政策目標を提示したとみられる。防護を100％に引き上げるという目標は、重要なサービスや機能の停止・混乱を避ける観点から、社会全体のレジリエンス向上に関わる取り組みとして位置付けられる。
対策・今後の展望
今回の目標設定は、重要インフラ産業におけるサイバーセキュリティ対策を計画的に進めるための枠組みとなる。今後は、防護基準の今夏の策定を受けて、目標達成に向けて関係者が共通の方向性を持ち、実務としての対策を着実に積み上げることが求められる。
- 防護水準の引き上げ：国が定める防護基準に沿ったサイバー攻撃対策を、電力・金融などの重要インフラ産業の企業において計画的に導入・整備し、防護水準の底上げを図る。
- 継続的な強化：2031年度末という期限を見据え、企業ごとに段階的に対策を拡充し、AIの高度化など環境変化に応じた継続的な見直し・強化を行う。
- 社会基盤の安定確保：重要なサービスの継続性を確保し、経済社会や国家安全保障への影響を最小化することで、社会全体としてのサイバー攻撃への耐性（レジリエンス）向上につなげる。
FAQ
Q1. 「防護100％」とは、サイバー攻撃の被害が完全になくなるという意味ですか。
Ａ. 報道で示されている「防護100％」は、電力や金融など重要インフラ産業の企業において、国が定める防護基準に沿ったサイバー攻撃対策を講じている企業の割合を100％にするという政策目標を指します。サイバー攻撃の被害が物理的・技術的に完全になくなることを保証するものではなく、必要な対策を全社的に行き渡らせることを狙いとしたものです。
Q2. 対象となる「重要インフラ産業」には、どのような分野が含まれますか。
Ａ. 報道では具体例として電力や金融が挙げられており、社会機能の維持に直結するインフラ分野が対象とされています。詳細な対象範囲（他の業種や企業規模など）については、防護基準の策定作業の中で整理・明示されるとみられ、現時点で詳細は不明です。
Q3. 今回の目標設定の背景には、どのようなサイバー脅威がありますか。
Ａ. 成長戦略案では、国家を背景としたものを含めサイバー攻撃が巧妙化・高度化しており、経済社会や国家安全保障への脅威となっているとされています。また、AIの性能向上により攻撃の自動化・高精度化などのリスクが高まっていることが指摘されており、こうした環境変化を背景に防護水準の引き上げが図られています。
Q4. 防護基準はいつ、どのように策定される予定ですか。 Q5. 企業側にはどのような対応が求められることになりますか。
Ａ. 報道では、防護基準は今夏に策定する方針詳細は現時点で不明
Ａ. 重要インフラ産業の企業には、今夏に策定される防護基準に沿って、システム防御や監視体制、インシデント対応、サプライチェーンを含むセキュリティ管理などの対策を計画的に整備・強化することが求められるとみられます。具体的な求められる対策の中身やスケジュール感は、防護基準の内容と成長戦略における位置付けが示される段階まで、詳細は現時点で不明