政府、重要インフラ向けサイバー攻撃対策を統一へ「サイバー保険」報道と約150項目のガイドライン案を整理|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月25日更新日時: 2026年08月25日

政府が重要インフラ事業者のサイバーセキュリティ対策を強化するため、新たな「安全基準等策定ガイドライン」の策定を進めています。2026年8月24日、時事通信は、ランサムウェア被害などを踏まえ、サイバー保険を含む約150項目を「講ずべき対策」として求める内容だと報じました。

一方、内閣官房国家サイバー統括室が8月5日に公開した162ページのガイドライン案を確認すると、閉域網への過信防止、ランサムウェア対策、高性能AIの悪用を前提とした防御、耐量子計算機暗号（PQC）への移行などは明記されているものの、「サイバー保険」を独立した「講ずべき対策事項」とする記述は確認できません。

サイバー保険については、2026年3月の重要インフラサイバーセキュリティ研究会で、ランサムウェアなどによる巨額損失に備える財務レジリエンス策として具体的に議論されていました。今回の報道は、この有識者会議での検討経緯と、現在パブリックコメント中のガイドライン案を踏まえたものとみられます。

重要インフラ向け新ガイドラインのサマリー

確認済み：国家サイバー統括室は2026年8月5日、「安全基準等策定ガイドライン（案）」を公開しました。
確認済み：パブリックコメントは8月26日23時59分まで受け付けています。
確認済み：ガイドラインは、7月31日に決定した「重要インフラ統一基準」を各省庁・業界の安全基準へ具体化するための詳細事項を示すものです。
確認済み：「閉域網だから安全」「専用OSだから安全」「独自技術仕様だから安全」といった過信を明確に戒めています。
確認済み：ランサムウェア対策として、脆弱性管理、アカウント管理、バックアップ、ログ取得、ネットワーク分割、継続的監視などを求めています。
確認済み：ランサムウェア攻撃者への金銭支払いについて「厳に慎む」としています。
確認済み：高性能AIの悪用による攻撃の高速化・大規模化を想定し、防御側でAIを積極活用することも含めた対策強化を求めています。
確認済み：重要インフラ事業者についても原則2035年を目標にPQCへの移行を検討する考え方を示しています。
確認済み：現在の重要インフラは15分野で、2026年10月から「郵便」が加わり16分野となる予定です。
報道ベース：時事通信は8月24日、ガイドライン案には約150項目の「講ずべき対策」があり、サイバー保険などによる資金手当ても検討する内容だと報じました。
確認済み：2026年3月の有識者会議では、サイバー保険をレジリエンスの具体策として位置付ける案や、キャッシュフロー確保策を検討すべきとの意見が出ています。
注意点：8月5日公開版のガイドライン案では、「サイバー保険」を独立した必須対策として明記した箇所は確認できません。加入義務が決まったわけではありません。

項目	内容
文書	安全基準等策定ガイドライン（案）
公開日	2026年8月5日
所管	内閣官房国家サイバー統括室
パブリックコメント	2026年8月26日まで
基礎となる制度	重要インフラのサイバーセキュリティ対策のための統一基準
統一基準の施行予定	2026年10月1日
対象	現行15分野。10月から郵便を加え16分野
主な内容	組織統治、資産・リスク管理、防御、検知、対応・復旧、ランサムウェア、AI、PQC等
サイバー保険	3月の有識者会議で財務レジリエンス策として議論。公開中の案では独立した必須項目としては確認できず
約150項目	時事通信が「講ずべき対策」として報道
成案時期	時事通信は9月中と報道

8月24日、重要インフラ防護へ「約150項目」と報道

8月24日、時事通信は、政府が重要インフラを扱う事業者向けにサイバーセキュリティ対策のガイドライン案をまとめ、約150項目を「講ずべき対策」として示したと報じました。

報道では、ランサムウェアによる被害で極めて大きな財務的影響が生じる可能性があるとして、サイバー保険などによる資金手当てを検討することも盛り込んだとしています。

また、インターネットから遮断された制御ネットワークについても安全とは限らないとし、「閉域網だから安全」「専用OSだから安全」「独自技術仕様だから安全」といった認識を改めるよう求めたとしています。

政府は8月26日までパブリックコメントを実施しており、時事通信によると、意見を踏まえた成案を9月中に公表する方針です。

一次資料では「サイバー保険」を独立した必須項目として確認できず

今回の報道で最も注意が必要なのが、サイバー保険の位置付けです。

国家サイバー統括室が公開している8月5日版「安全基準等策定ガイドライン（案）」を確認すると、「サイバー保険」という語は、中小企業向けの「サイバーセキュリティお助け隊」を説明する脚注には登場するものの、重要インフラ事業者が講ずべき独立した対策としては確認できません。

また、「極めて大きな財務的インパクト」「資金手当て」といった表現も、8月5日版の本文には確認できませんでした。

したがって、現時点で「政府が重要インフラ事業者にサイバー保険加入を義務付ける」「ガイドライン案にサイバー保険加入が必須項目として明記された」と断定するのは適切ではありません。

一方、サイバー保険そのものが今回の制度検討と無関係というわけではありません。2026年3月の有識者会議で、重要インフラの財務レジリエンス策として明確に議論されています。

3月の有識者会議でサイバー保険を具体的に議論

国家サイバー統括室の「重要インフラサイバーセキュリティ研究会」は2026年3月4日の第3回会合で、重要インフラ統一基準の策定に向けた論点を議論しました。

議事概要では、構成員から「サイバー保険について言及することも一案」との意見が出ています。

背景には、ランサムウェアなどのサイバー攻撃によって、システムを復旧できても企業財務への打撃が大きく、重要インフラサービスの継続そのものが難しくなる可能性があります。

別の構成員からは、サイバー保険をレジリエンスの具体的な要素として位置付ける案が示されました。また、損失補填とキャッシュフロー確保を分けて考え、政府による融資なども含めて幅広く検討すべきとの意見も出ています。

この段階では「加入を義務付ける」という議論ではなく、サイバー攻撃後も事業を継続・復旧できる財務的な備えの一つとして保険を検討する、という位置付けです。

サイバー保険では何が補償されるのか

国家サイバー統括室の「サイバーセキュリティ関係法令Q&Aハンドブック」は、サイバー保険の主な補償を3種類に整理しています。

補償	主な内容
損害賠償補償	個人情報漏えいなどに伴う第三者への損害賠償
費用損害補償	フォレンジック、弁護士、コールセンター、広報、再発防止などの事故対応費用
利益損害補償	工場・倉庫・配送・情報システム停止などによる逸失利益

重要インフラでは、情報漏えいへの賠償だけでなく、システム停止による事業中断、復旧のための専門家費用、顧客や行政への対応費用などが大きくなる可能性があります。そのため、サイバー保険は単なる「情報漏えい保険」ではなく、インシデント後の資金確保と事業継続を支えるリスク移転策として検討されています。

ただし、補償範囲、上限額、免責、事業中断の対象、サプライチェーン事故の扱いなどは商品・契約ごとに異なります。保険へ加入すればセキュリティ対策が不要になるわけでもありません。

セキュリティ対策Labでは、実際にサイバー保険金3,540万円の支払いが確定した事例として「テモナ、『たまごリピート』への不正アクセス事案でサイバー保険金3,540万円の支払いが確定」でも解説しています。

サイバー保険とランサムウェアの身代金支払いは別問題

ガイドライン案はランサムウェア対策について、VPN機器などの脆弱性や認証情報を悪用した侵入、バックアップ削除などを想定し、脆弱性管理、認証・アクセス制御、バックアップ、ログ、ネットワーク分割、継続監視を基本対策として挙げています。

さらに「ランサムウェア攻撃を助長しないようにするためにも、金銭の支払は厳に慎む」と明記しています。

サイバー保険を検討することと、攻撃者へ身代金を支払うことは別の論点です。

国家サイバー統括室のQ&Aでも、身代金を支払ってもデータ復旧や非公開化が保証されず、犯罪組織の資金源となることや、相手によっては海外制裁規制に抵触する可能性があるとして、安易な支払いを慎むべきだと説明しています。

サイバー保険の主眼は、フォレンジック、復旧、賠償、事業中断など、インシデントによる正当な損害・費用に備えることにあります。

「閉域網だから安全」を明確に否定

今回のガイドライン案は、重要インフラや工場の制御システムで長く残ってきた「閉域網なら安全」という考え方を明確に否定しています。

案では、従来は閉域網という理由でサイバー攻撃を想定していなかった基盤・制御システムでも、システム更改による環境変化や攻撃手法の変化によりリスクが高まっていると指摘しています。

さらに「閉域網だから安全」「専用OSだから安全」「独自技術仕様だから安全」という過信が被害リスクを高めるとしています。

制御システムでは汎用OSやTCP/IPなどの標準技術の利用が進み、保守端末、USB機器、遠隔監視、委託先接続などを通じて、外部ネットワークと直接接続していなくても侵入経路が生まれる可能性があります。

重要インフラでは、ITシステムだけでなくOT・制御系を含めた資産管理とリスクアセスメントが必要になります。

高性能AIの悪用とPQC移行も対策項目に

ガイドライン案は、従来型のランサムウェア対策だけでなく、新しい技術リスクも対象にしています。

高性能AIについては、攻撃者がAIを利用することで脆弱性の発見から悪用までの時間が短くなり、攻撃が高速・大規模化するリスクを想定しています。

その上で、資産管理、脆弱性管理、バックアップ、監視、BCP、インシデント対応、サプライチェーン対策などを強化するとともに、防御側でも高性能AIを積極的に活用することを検討しています。

また量子コンピューターの進展を踏まえ、重要インフラ事業者にも耐量子計算機暗号（PQC）への移行を求める方向です。政府機関と同様、原則2035年を目標としつつ、より早期の移行も検討するとしています。

2025年の法改正から統一基準へ、今回の経緯

重要インフラ向けのサイバー対策は、今回突然始まったものではありません。

政府は2005年から重要インフラの情報セキュリティ対策に関する行動計画を策定し、各分野の自主的な対策を促してきました。2023年には「重要インフラのサイバーセキュリティに係る安全基準等策定指針」を改定し、経営層の関与やサプライチェーンリスクなどを強化しました。

一方、分野ごとに対策内容や成熟度の差があり、政府が横断的に評価・改善するための統一的な基準がないことが課題となっていました。

時期	主な動き
2005年	重要インフラ向け行動計画を策定
2023年7月	安全基準等策定指針を改定
2025年5月	サイバーセキュリティ基本法を改正し、重要インフラ統一基準の法的枠組みを整備
2025年8月	重要インフラサイバーセキュリティ対策推進会議で検討開始
2026年3月	有識者会議でサイバー保険、キャッシュフロー、閉域網、CISO等を議論
2026年4月21日	重要インフラ統一基準案のパブリックコメント開始
2026年7月31日	サイバーセキュリティ戦略本部が重要インフラ統一基準を決定
2026年8月5日	安全基準等策定ガイドライン案を公開、パブリックコメント開始
2026年8月24日	時事通信が約150項目とサイバー保険の検討を報道
2026年8月26日	ガイドライン案のパブリックコメント締切
2026年9月	時事通信によると成案を公表予定
2026年10月1日	重要インフラ統一基準を施行予定。郵便を加え16分野へ