この記事の要点
- 政府は11月6日、サイバーセキュリティに関する関係閣僚会議で「サイバーセキュリティ緊急対策パッケージ」を決定した。
- 相次ぐ情報漏えいでは、既知の脆弱性の放置や設定不備など、基本的な対策の不備が多くの事案に共通していると指摘した。
- 警察の初動支援チームの新設、お助け隊サービスへの復旧支援の追加、相談窓口の整理など、中小企業にも関わる施策が並ぶ。
政府は11月6日、サイバーセキュリティに関する関係閣僚会議で「サイバーセキュリティ緊急対策パッケージ」を決定した。サイバー攻撃による情報漏えいなどが相次いでいることを受け、被害の予防から、攻撃への対処、被害を受けた後の支援までを「4つの柱」にまとめた。
背景：基本的な対策の不備が共通
パッケージは、相次ぐ事案に共通する問題として、既知の脆弱性の放置、ウェブサイトなどの設定不備、アプリケーション開発時のセキュリティ対策の不足といった「自組織・委託先の基本的な対策の不備」を挙げた。さらに、AIの進展によってこうした隙が「短時間かつ大規模に突かれる」として、特定の組織や業界に限らず社会全体での対応が必要だとしている。
目指す姿として、あらゆる組織が基本的な対策を当たり前に講じることで被害を予防し、攻撃を受けても官民が情報を共有していち早く対処し、迅速に支援を受けて立ち直ることができる「世界最高水準のサイバーレジリエンスを確保した社会」を掲げた。
4つの柱と主な施策
| 柱 | 主な施策（担当） |
|---|---|
| 1. AIも活用した基本的な対策の徹底 | ウェブサイト・モバイルアプリの基本的な対策の注意喚起（国家サイバー統括室）／不要な個人データの消去を求め、安全管理措置のガイドラインを改正、令和9年1月中の施行を目指す（個人情報保護委員会）／IPAにトップガン人材チームを11月中に立ち上げ、民間企業を含めペネトレーションテストを推進（経済産業省） |
| 2. 情報収集・集約、捜査・分析体制の強化 | セキュリティベンダやクラウド事業者などから攻撃・脆弱性の情報を早期に集約／重大な被害事案の情報を関係省庁が迅速に収集し、SCS評価制度の取得企業にも関係情報を求められる仕組みを導入／IPAでNICTと連携し、攻撃を24時間365日監視する観測網の実証を開始 |
| 3. サイバー攻撃への対処の戦略的な実施 | 事案に応じて官民の専門人材チームを派遣／警察に「ファスト・フォレンジック・フォース（仮称）」を新設し、ログの保全などの初動を確保（警察庁）／中小企業向けの「サイバーセキュリティお助け隊サービス」に復旧・バックアップなどの支援メニューを追加（経済産業省）／事業者に脅威ハンティングを働きかけ、マニュアル・検知ツールを年内めどに提供 |
| 4. 被害者支援・被害拡大防止策の強化 | 事業者向けに、警察の法人被害の専用窓口に加え、IPA・よろず支援拠点などの無料相談や業所管省庁の分野別窓口を設置／個人向けに、消費生活センター（188）を総合的な入口とし、相談内容に応じた窓口を官邸ホームページで案内 |
出典：内閣官房「サイバーセキュリティ緊急対策パッケージ（概要）」
事業者・個人への呼びかけ
国家サイバー統括室は「サイバー対応特設サイト」で、パッケージの資料とあわせて事業者向け・個人向けの対策と相談窓口を案内している。事業者に対しては、改めて基本的な対策として「①運用・管理対策、②設計・開発対策、③サプライチェーン侵害対策」の徹底を求めた（事業者向け資料）。個人に対しては、強固なパスワードと多要素認証の設定、安易にクリックしないこと、利用状況の確認、ソフトウェアのアップデート、困ったときの相談を挙げている（個人向け資料）。
中小企業にとっての意味
パッケージの多くは政府や大企業向けの施策だが、中小企業に直接関わるものも少なくない。被害を受けたときの相談先（警察の法人被害窓口、IPAやよろず支援拠点の無料相談）が整理され、お助け隊サービスには初動から復旧までの支援が加わる。警察の新たな初動チームは、ログの保全など、被害の原因調査に欠かせない作業を早い段階で確保することを目的としている。
一方で、パッケージが繰り返し強調しているのは「基本的な対策を当たり前に」という点だ。支援の仕組みが整っても、既知の脆弱性の放置や設定不備といった入り口がふさがれていなければ、被害そのものは防げない。
CSRIからのアドバイス
今回のパッケージは、相次ぐ漏えい事案の多くが「基本的な対策の不備」で起きているという現状認識から出発している。高度な攻撃への備えより先に、更新されていないソフトウェアや、公開設定の誤りといった足元の弱点をふさぐことが、もっとも効果の大きい対策だということでもある。
例えるなら、町全体で防犯パトロールや110番の体制を強化しても、各家庭が鍵をかけていなければ空き巣は減らない、ということだ。国の支援は「鍵をかけたうえで、それでも入られたとき」に頼るものと考えたい。
まず、自社のウェブサイトや業務で使うサービスについて、ソフトウェアの更新状況と公開設定を確認する。次に、被害を受けたときの相談先として、警察の窓口と、IPA・よろず支援拠点の無料相談の連絡先を社内で共有しておくと、いざというときに初動が遅れない。
参照: 内閣官房「サイバーセキュリティ緊急対策パッケージ（概要）」／国家サイバー統括室「サイバー対応特設サイト」／INTERNET Watch「政府が「サイバーセキュリティ緊急対策パッケージ」発表」
