トランプ大統領、民間企業をサイバー攻撃に参加させる大統領覚書に署名日本の「能動的サイバー防御」との構造的な違いとは|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月14日更新日時: 2026年08月14日

トランプ大統領は2026年8月12日、国境を越えるサイバー犯罪組織（Transnational Criminal Organizations、TCO）に対抗するため、審査を通過した民間企業を、政府の監督下で「サイバー監視作戦」「サイバー効果作戦」に参加させる新たな枠組みを創設する大統領覚書に署名しました。これは、民間企業が独自の判断で攻撃者に反撃する、いわゆる無制限の「ハックバック」を認めるものではなく、司法省・国土安全保障省の厳格な統制下で運用される、政府主導のプログラムです。日本でも「能動的サイバー防御」関連法が成立していますが、対象となる主体や民間企業の位置づけには、重要な構造的違いがあります。

この記事のサマリー

トランプ大統領は2026年8月12日、大統領覚書「国境を越えるサイバー可能犯罪への対抗能力の拡大」に署名しました。2026年3月6日の大統領令14390号を土台に、民間セクターの技術力を活用する枠組みを新設するものです。
国家調整センター（NCC）が、審査を通過した「参加企業（Participating Companies）」を対象に、外国のサイバー可能な国境を越える犯罪組織（CE-TCO）に対する「サイバー監視作戦」（情報収集）と「サイバー効果作戦」（システムの操作・妨害・機能停止等）を承認するプログラムを創設・管理します。
参加企業は独自の判断で行動することはできません。すべての作戦は、司法省・国土安全保障省それぞれから任命される共同プログラム事業局長の承認を経る必要があり、政府の監督・統制のもとで、政府に代わって実施されるものと明記されています。
死亡・重傷につながる可能性がある、あるいは国際法上の武力行使・武力攻撃に相当する「重大な結果（Critical Outcomes）」を伴う作戦は、通常の承認プロセスでは承認できず、より上位での判断が必要とされています。
米国の消費者は2025年、サイバー可能犯罪により200億8,000万ドル超の被害を報告したとされ、対象にはランサムウェア攻撃、フィッシングキャンペーン、金融詐欺、セクストーション、なりすまし詐欺が含まれるとされています。
日本でも「能動的サイバー防御」に関する法整備が既に行われていますが、こちらは警察・自衛隊という政府機関が、独立機関の事前承認を得て攻撃元へアクセス・無害化措置を行う枠組みであり、民間企業に攻撃的な作戦への参加を認めるものではありません。この点で、米国の新しい枠組みとは構造が異なります。

整理表

項目	内容
署名日	2026年8月12日
文書の種類	大統領覚書（Presidential Memorandum）
正式名称	Expanding Capabilities to Combat Transnational Cyber-Enabled Crime
土台となる大統領令	2026年3月6日署名の大統領令14390号（Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens）
管理主体	国家調整センター（NCC）
対象となる企業	審査を通過した「参加企業（Participating Companies）」
実施可能な作戦	サイバー監視作戦（情報収集）、サイバー効果作戦（操作・妨害・機能停止・機能低下・破壊）
対象	外国のサイバー可能な国境を越える犯罪組織（CE-TCO）。外国政府の一部・完全な指揮下にある組織は明確な情報がない限り対象外と推定
承認プロセス	司法省・国土安全保障省の共同プログラム事業局長による承認が必須
参加企業の義務	厳格な審査、契約締結、最低100万ドルの保証金・エスクロー、年次評価
独自判断での行動	不可（政府の監督・統制のもとでのみ実施）
2025年の被害額（米消費者）	200億8,000万ドル超

何が起きたか

大統領覚書によると、国家調整センター（NCC、2025年1月20日の大統領令14159号に基づき設置）が、審査を通過した「参加企業」を対象に、

外国のサイバー可能な国境を越える犯罪組織（CE-TCO）に対する「サイバー監視作戦」と「サイバー効果作戦」を承認するプログラムを創設・管理します。サイバー監視作戦は、情報システムへ無許可でアクセスし、発見されないことを意図して情報を収集する活動を指し、サイバー効果作戦は、情報システムの操作・妨害・機能停止・機能低下・破壊につながる活動を指すと定義されています。

このプログラムは、司法省から任命される事業局長と、国土安全保障省から任命される事業局長の2名によって共同で監督されます。

両事業局長は、それぞれの省庁の職員が実施するサイバー作戦を承認する権限を持ちますが、死亡・重傷につながる可能性がある、あるいは国際法上の武力行使・武力攻撃に相当する「重大な結果」を伴う作戦については、この通常の承認権限では承認できないとされています。参加企業となるには、司法省または国土安全保障省との契約締結が必要で、厳格な審査、施設のセキュリティ、要員の身元調査、最低100万ドルの保証金・エスクローの維持、少なくとも年1回の継続参加審査といった要件が課されます。

覚書は繰り返し、参加企業が独自の判断で作戦を実施することはできず、すべての活動は「米国政府の監督・運用統制・法的権限のもとで実施されなければならない」と明記しています。想定を超える対象（米国人、米国内の情報システム、米国人が管理する情報システム等）への意図しない影響が発生した場合には、直ちに作戦を停止し、被害軽減措置を講じたうえでNCCへ通報する手続きも定められています。

「ハックバック」の無制限な解禁ではない

今回の覚書について、海外メディアの報道では「民間企業が反撃を許可された」という見出しが目立ちますが、内容を精査すると、これは民間企業に独自の反撃権限を与えるものではないことが分かります。専門メディアCyberUpdates365は、この点について明確に「民間企業は独自に行動することはできない」と整理しています。あくまで、政府機関（司法省・国土安全保障省）が実施するサイバー作戦において、審査を通過し契約を結んだ民間企業の技術力・人材を、政府の指揮・統制のもとで活用する仕組みであり、企業が自社の判断で攻撃者のシステムへ侵入する権限を得るわけではありません。

セキュリティ企業Veracodeの共同創業者クリス・ワイソパル氏は、この覚書を「米国のサイバー政策における大きな転換」であり「攻撃的サイバー作戦における民間セクターの役割の大幅な拡大」だと評価しています。一方、インディアナ大学の応用サイバーセキュリティ研究センターを率いるスコット・シャッケルフォード氏は、「このプログラムには一定のガードレールが備わっており、増大する問題への意味のある対応になり得る」と評価しつつ、法的な課題やリスクも多く指摘されています。

日本の「能動的サイバー防御」との構造的な違い

日本でも、サイバー攻撃への対応能力を強化するための法整備がここ数年で進められてきました。当サイトではこの経緯を継続的に取り上げており、能動的サイバー防御法案が閣議決定、能動的サイバー防御の成立と今後の注目点-安全保障とプライバシーの狭間でなどで解説しています。

日本の能動的サイバー防御の枠組みで重要なのは、攻撃元へのアクセスや無害化措置を行う主体が、あくまで警察・自衛隊という政府機関に限定されている点です。政府が民間の通信情報を収集・分析する際や、警察・自衛隊が攻撃元へアクセスする際には、独立機関による事前承認が必要とされており、「承認を得るいとまがない特段の事由がある場合」に限り、事後通知での対応が認められる例外規定も設けられています。この独立機関による事前承認という統制の仕組みが、実効的な歯止めとして機能するかどうかが、今後の運用における焦点とされています。

この点は、今回の米国の覚書と比較すると、興味深い対比を示しています。米国の新しい枠組みは、政府機関（司法省・国土安全保障省）による厳格な統制を維持しながらも、審査を通過した民間企業が、実際の攻撃的な作戦（サイバー効果作戦を含む）の実施主体として関与できる道を、公式に開いたものです。一方、日本の現行の能動的サイバー防御の枠組みは、攻撃元への能動的なアクセス・無害化措置の主体を警察・自衛隊に限定しており、民間企業がこうした攻撃的な作戦に直接関与する制度的な枠組みは、本記事執筆時点で存在していません。日本企業がサイバー攻撃を受けた場合に取り得る対応は、依然として自社システムの防御・復旧や、専門家（ホワイトハッカー等）による自社システムの脆弱性診断・ペネトレーションテストといった、防御側の措置にとどまります。ホワイトハッカーの役割や企業による活用事例については、ホワイトハッカーとは？ハッカーとの違いや活用事例について紹介で解説しています。

なお、当サイトが解説した国家的 AIサイバー防衛パッケージ Project YATA-Shield（プロジェクト・ヤタ－シールド）とはでも触れているとおり、日本の能動的サイバー防御関連の法整備は、「特定社会基盤事業者」への報告義務や、ソフトウェアベンダへの是正措置要請権限など、民間企業に一定の協力・報告義務を課す枠組みを含んでいます。しかし、これらはあくまで防御・報告体制の強化であり、米国の今回の覚書が想定するような、民間企業自身が攻撃的な作戦の実施主体になるという発想とは、性質が異なります。

情報システム部門が確認すべき対策ポイント

米国に拠点を持つ企業、あるいは米国企業との取引がある企業は、今回のプログラムの対象となる「参加企業」に自社や取引先が該当する可能性があるか、契約関係を含めて確認しておくことをおすすめします。
日本国内の企業は、現行法上、攻撃者への反撃（ハックバック）や攻撃元への能動的なアクセスを自ら行うことは認められていない点を、あらためて社内で共有してください。攻撃を受けた際の対応は、あくまで自社システムの防御・復旧・報告に限定されます。
自社の脅威インテリジェンス・SOC運用において、米国の「参加企業」のような枠組みで活動する海外の民間セキュリティ企業から得られる情報が、今後増加する可能性を踏まえ、情報の出所・信頼性を確認する体制を整えることも有効です。
日本の能動的サイバー防御関連法制の運用状況（独立機関の承認プロセス、特定社会基盤事業者への報告義務等）について、自社が対象事業者に該当するかどうかも含め、継続的に情報を確認してください。