2025年5月16日、「能動的サイバー防御（アクティブ・サイバー・ディフェンス）」に関する関連法案が、与野党の賛成多数で参院本会議を通過し成立しました。これにより、日本のサイバー攻撃への対処能力は大きく転換点を迎え、安全保障体制における新たなフェーズへと進むことになります。本記事では、法案成立の背景と目的、制度の内容、そして今後の注視点について詳細に解説します。
目次
成立の背景――日本のサイバー安全保障の課題
今回の法案成立の背景には、近年急増するサイバー攻撃の脅威があります。政府発表によると、サイバー攻撃の約99%が国外からのものであり、特に重要インフラや政府機関を狙う攻撃が深刻化しています。実際、JAXAへの標的型攻撃は複数回定期的に攻撃され毎回中国の関与が指摘されています。
米国では2010年代から「Defense Forward」戦略を掲げ、敵国のサイバー拠点に先制的にアクセスして被害を未然に防ぐ手法が取られており、英国やドイツ、フランスなどでも同様の施策が進んでいます。
これに対し、日本は従来、受動的なサイバーセキュリティ対策を中心に据えてきました。攻撃を受けてから対処するアプローチでは、高度で組織的な攻撃（APT）に対応しきれないという課題が顕在化していたのです。
こうした情勢を受けて、2022年の国家安全保障戦略では、能動的サイバー防御の導入が明記され、今回の法制化に至ったのです。
法案のポイントと制度設計
能動的サイバー防御関連法は、以下の三本柱を中心とした制度設計となっています。
官民連携による情報共有体制の強化
政府は重要インフラ事業者などと協定を結び、サイバー攻撃の予兆に関する情報を共有・収集します。これにより、被害を受ける前段階での早期警戒が可能になります。
情報収集の共有に関しては、機密情報を人的・組織的に取り扱う事ができるセキュリティ クリアランス制度も2025年5月から運用が開始されました。
通信情報の監視と選別
通信事業者が保有する通信情報を政府が収集し、AIなどを用いて機械的にスクリーニングを実施します。選別された「重大な攻撃に関係する」情報のみを扱い、人間の目による閲覧は制限されます。
監視には独立した「サイバー通信情報監理委員会」が関与し、適法性を審査します。
攻撃元サーバへの侵入と無害化
政府（警察または自衛隊）が攻撃の兆候がある外国拠点に対して、攻撃前にアクセスし、必要に応じてプログラムの停止・削除などの措置を講じます。このプロセスは事前に独立委員会の承認を必要とします。
これらの措置は、2027年末までの全面施行を目指して準備されます。警察庁、自衛隊、デジタル庁が連携し、技術的・人的体制の整備を進める方針です。
成立に至るまでの政治的プロセス
法案は自民・公明の与党に加え、立憲民主党、日本維新の会、国民民主党など主要野党も賛成する形で可決されました。特に、衆議院段階では野党の意見を踏まえた修正が加えられ、「通信の秘密」の尊重を法文に明記するなど、憲法上のプライバシー保護との整合性に配慮がなされました。
その一方で、共産党やれいわ新選組などは「監視国家化のリスクがある」として反対姿勢を貫きました。
今後の注目点と課題
今回の法案成立によって、政府に強力なサイバー対処能力が付与されることになりますが、その一方でプライバシーや通信の自由とのバランスという重大な課題も浮上しています。
プライバシー侵害への懸念
通信情報の監視は、選別プロセスを経るとはいえ、民間人の通信に関する情報が国家機関に渡ることになります。たとえ「重大な攻撃に関係する機械的情報」のみに絞るとしても、その選別基準や運用方法の透明性が問われます。
特に、日本の憲法第21条では「通信の秘密」が厳格に保護されており、送信元・送信先や通信ログといった外形情報も含めた広範な解釈がされてきました。これを例外的に扱うためには、相応の理由と高度な監視機構の整備が必要となります。
実行部隊の役割と責任所在
今回の法案では、攻撃元のサーバへの侵入やプログラム無害化といった技術的対応を、警察・自衛隊が行うとされています。問題は、それを誰が、どのような権限で、どのような判断で行うのかが明確でない点です。仮に誤って一般企業のサーバを無害化した場合、責任の所在や補償スキームなどをどう扱うのかが今後の課題です。
民間事業者との情報共有の実効性
官民連携による情報共有が柱となっていますが、民間企業にとっては機密性の高いインシデント情報を政府に報告することに抵抗があるケースも想定されます。米国のように報告義務化と罰則規定を導入するのか、報告を促すインセンティブを設けるのか、今後の制度設計が鍵を握ります。
まとめ―「積極防御」の名の下に何が変わるのか
能動的サイバー防御法の成立は、日本のサイバーセキュリティ政策にとって画期的な転換点となります。攻撃を受けてから対処するのではなく、攻撃が実行される前に食い止めるというアプローチは、欧米ではすでに常識となりつつある中で、日本もようやく第一歩を踏み出した格好です。
とはいえ、制度設計の中身はまだ流動的であり、実効性とプライバシー保護の両立という難題をどう乗り越えるかが今後の焦点となります。国民の自由と安全保障の両立という命題の中で、いかにして適切な制度運用がなされるのか。法の精神と実務の乖離を埋めるための不断の検証と見直しが、制度の成否を左右することになるでしょう。
引き続き、本制度の詳細な運用方針やガイドラインの策定過程、監視機構の機能性、技術的実行主体の整備状況など、セキュリティ業界のみならず広く社会全体での注視が必要です。
