能動的サイバー防御の導入による基幹インフラ事業者への影響（前編）

能動的サイバー防御導入の背景

世界的に国家間のサイバー攻撃やハイブリッド戦争の脅威が増加し、社会インフラが狙われる事象も散見されています。電力網の停止や港湾の業務停止などがもたらす経済・社会的影響は甚大であり、国家安全保障の観点から対処は急務と言えます。

こうした状況を受けて、欧米主要国ではサイバー攻撃への対応能力を向上させる取り組みが進められてきました。このうち、社会インフラ事業者に関しては、セキュリティインシデント報告の義務化や政府からの情報提供といった取り組みが複数の国でなされています。関連する代表的な法律として、欧州のNIS2指令、米国の重要インフラ向けサイバーインシデント報告法（CIRCIA法）、オーストラリアの重要インフラ安全保障法（SOCI法）などが挙げられます。

日本でも、サイバー攻撃への対応能力を欧米主要国と同等以上に向上させるべく、法制度の整備が進められてきました。その結果として成立したのが、このサイバー対処能力強化法¹及び同整備法²です。

インシデント報告制度の概要

基幹インフラ事業者は、特定重要電子計算機に関するサイバーセキュリティインシデント、もしくはその原因となり得る事象を認知した際、これを報告することが義務付けられます。こちらについても資産届出と同様に、違反時の是正命令の発出や200万円以下の罰金が規定されています。

届出対象の事象としては、マルウェアの実行、不正アクセス行為、業務妨害（DDoS攻撃など）とともに、これらの痕跡を認知した場合の4つが案として示されています。さらに、特定重要設備の場合はインシデント発生につながる事象（マルウェアの受信、不正アクセスの試行、認証情報の窃取など）も対象とされており、一般的に想定されるセキュリティインシデントよりも対象範囲が広いと想定されます。

報告事項としては、事象の概要（業務やシステムへの影響）、事象が発生した特定重要電子計算機および事象への対応などに加えて、攻撃に関する技術的な情報が挙げられています。この技術情報については、DDoS攻撃であれば攻撃手法や送信元・送信先など、ランサムウェアであれば侵入方法やランサムウェアの種類・特徴などが該当します。

報告の期限としては、インシデントの認知後①速やかに速報、②30日以内に詳報を提出するという案が示されています。インシデントの発生ではなく認知した（検知した、通知を受けた）時点から起算され、報告時点で把握した事項のみ届出が求められるとはいえ、インシデントを速やかに判断し報告できる体制やプロセスの構築が必要となるでしょう。構成次第では、資産届出と同じく、委託先やグループ会社、クラウドベンダーなどとの情報共有体制や報告ルールの整備も必要と考えられます。

協議会制度の概要

サイバー攻撃による被害の防止のため、情報共有及び対策に関する協議会が設置されることになっており、基幹インフラ事業者や機器のベンダーなどのうち同意を得た者が構成員となります。

協議会では守秘義務を伴う情報の共有が行われます。構成員は知り得た情報を適正に管理する必要があり、秘密の不正利用や漏えいには2年以下の拘禁刑または100万円以下の罰金が科せられます。また、協議会は構成員に必要な資料提出などを求めることができ、構成員は正当な理由がある場合を除いてその求めに応じなければならないとされています。

2025年12月に閣議決定された「サイバー対処能⼒強化法に基づく基本方針³」では、重要経済安保情報⁴についてもセキュリティ・クリアランス制度を活用して情報提供を行うとされています。したがって、これらの情報共有を受ける事業者は、クリアランスの取得や維持管理といった対応が必要になると想定されます。

まとめ

能動的サイバー防御に関する新たな官民連携制度の全体像と、基幹インフラ事業者に直接影響する資産届出、インシデント報告、協議会の各制度について解説しました。

これらは、欧米主要国と同水準のサイバー対処能力を確保し、被害の未然防止を図る上で不可欠な仕組みです。一方で、対象範囲がサプライチェーンにも及ぶ可能性があり、基幹インフラ事業者にとってガバナンスや実務負荷の増大は避けられません。法的義務の範囲で対応するだけでなく、自社の資産管理やインシデント対応力の見直し、サプライチェーン全体を含めたセキュリティレベル向上の機会として前向きに活用していくことが重要です。

後編では、これらの制度への対応のために、直近で事業者に推奨される事項について解説します。

PwCコンサルティングでは、サイバー対処能力強化法や経済安全保障推進法に関する制度理解や、基幹インフラ事業者への豊富な支援実績に基づき、制度対応のための体制・プロセス構築、社内ルール整備、技術的対策の高度化など幅広い支援を提供することが可能です。また、サイバーインテリジェンスの活用により、法令遵守にとどまらないプロアクティブなセキュリティ対策の実現に向けた支援も提供しています。ご興味がある方はお気軽にお問い合わせください。

¹ 重要電子計算機に対する不正な行為による被害の防止に関する法律

² 重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律

³ 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針

⁴ 重要経済基盤（重要なインフラや物資のサプライチェーン）に関する一定の情報であって、公になっていないもののうち、その漏えいが我が国の安全保障に支障を与えるおそれがあるため、特に秘匿する必要があるもの（重要経済安保情報保護活用法の規定による）