政府が「脅威ハンティング」基本方針を決定-第6回サイバーセキュリティ戦略本部、Project YATA-Shieldも報告。米英の先行実績が示す効果と課題|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月03日更新日時: 2026年08月03日

令和8年7月31日、高市早苗首相を本部長とする第6回サイバーセキュリティ戦略本部が総理大臣官邸で開催されました。同本部では「脅威ハンティングの普及促進・実施等に係る基本方針」、「サイバーセキュリティ2026」、「重要インフラ統一基準」を決定したほか、AIの高度化を踏まえて本年5月に策定されたサイバーセキュリティ対策「プロジェクト・ヤタ・シールド（Project YATA-Shield）」の取組状況が報告されました。高市首相は「加速度的に脅威を増すサイバー攻撃は、我々の準備を待ってはくれない」と述べ、①AI対応の一層の強化、②サイバー対処能力強化法に基づく取組の加速、③社会全体のレジリエンス強化という3点を関係閣僚に指示しました。本稿では、なぜ今この判断が不可欠だったのか、基本方針の具体的な内容、そして能動的なサイバー防御を先行して展開してきた米国と英国の実績が何を示しているかを解説します。

第6回サイバーセキュリティ戦略本部・脅威ハンティング基本方針決定のサマリー

令和8年7月31日、第6回サイバーセキュリティ戦略本部で「脅威ハンティングの普及促進・実施等に係る基本方針」「サイバーセキュリティ2026」「重要インフラ統一基準」を決定
5月策定のProject YATA-Shield（AIの高度化を踏まえたサイバーセキュリティ対策）の取組状況を報告
高市首相が3点を指示：①AI対応強化、②サイバー対処能力強化法の施行準備加速（官民連携・アクセス無害化措置の規定は2026年10月1日施行）、③社会全体のレジリエンス強化
脅威ハンティングの公式定義：「従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動」
対象：政府機関・独立行政法人・基幹インフラ15業種の指定事業者258者・重要インフラ事業者等
政府の4つの主要取組：①能力習得・体制構築支援、②実効性向上（情報提供・助言）、③政府による実施（官民一体）、④国内外の官民連携／協働
米国サイバー軍は2026年時点で30カ国超・100回超のHFOを展開。英国NCSCのACDは社会規模の能動的防御として年間約180万件の悪性キャンペーンを処理

整理表

項目	内容
開催日	令和8年7月31日
会議	第6回サイバーセキュリティ戦略本部
本部長	高市早苗首相
担当閣僚	松本尚サイバー安全保障担当相ほか
決定①（本記事メイン）	脅威ハンティングの普及促進・実施等に係る基本方針
決定②	サイバーセキュリティ2026
決定③	重要インフラ統一基準
報告	Project YATA-Shield 取組状況（5月策定）
脅威ハンティングの公式定義	従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動
主な対象組織	政府機関・独立行政法人・基幹インフラ15業種の指定事業者258者・重要インフラ事業者等
関連法（施行区分）	サイバー対処能力強化法：官民連携・アクセス無害化措置の規定は2026年10月1日施行。通信情報利用制度は2027年秋までの施行予定
新協議会の立ち上げ	2026年10月1日（同法に基づき設置）

決定事項——基本方針の正式定義と4つの主要取組

今回決定された「脅威ハンティングの普及促進・実施等に係る基本方針」は、内閣官房国家サイバー統括室（NCO）が昨年12月策定のサイバーセキュリティ戦略に基づき立案したものです。同戦略が「2026年夏を目途」と明記していたマイルストーンが予定通りに到達したことになります。

基本方針では、脅威ハンティングを「従来のセキュリティ対策では検知が困難なサイバー脅威を自発的に探索する活動」と公式に定義しています。従来のサイバーセキュリティは「攻撃を覚知してから調査を始める」事後対応が基本でしたが、攻撃者の手口の高度化と長期潜伏能力の向上により、受動的な対処だけでは限界があるとの認識から、能動的な探索へのパラダイムシフトを明文化したものです。

基本方針のメリットとして政府が示したのは4点です。①巧妙化・高度化したサイバー攻撃等の早期発見、②組織内のセキュリティ対策の見直し・強化への寄与、③能動的サイバー防御に有用な情報の取得、④セキュリティ能力の更なる向上や体制強化です。

政府の主要取組は以下の4本柱で構成されます。

第1の柱：能力習得・体制構築等の促進——対象組織の能力・体制に応じた段階的な取組を政府が支援します。ガイドブックの提供・研修と実習機会・基盤整備・演習機会・人材育成プログラムの提供が含まれます。Step1（情報資産管理・リスクアセスメントなど従来の対策）→Step2（ログの収集・集約）→Step3（ログ分析・分析結果の活用）→Step4（脅威ハンティングの実施）という段階的工程が示されています。

第2の柱：脅威ハンティング活動の実効性向上——脅威ハンティングを実施する対象組織に対し、政府が保有する情報や国内外組織から得た情報を提供・助言することで、各組織のハンティングの精度を高めます。

第3の柱：政府による実施等に関する取組——深刻なサイバー脅威に関する情報集約・分析、政府機関間の連携・協力、官民組織への情報提供・支援など、官民一体となった脅威ハンティングを推進します。有事等における安全保障確保に向けた能力・体制強化も含みます。

第4の柱：国内外の官民連携／協働——国内ではサイバー対処能力強化法により新設される協議会を活用して官民連携を強化し、国外では外国政府との協力関係を構築して脅威情報の相互共有を目指します。

Project YATA-Shield——AIの高度化を踏まえて5月に策定されたサイバー対策

今回の戦略本部で取組状況の報告がなされた「プロジェクト・ヤタ・シールド（Project YATA-Shield）」は、本年5月にAIの急速な高度化を踏まえて策定されたサイバーセキュリティ対策です。高市首相はAIが攻撃側にも活用されることでサイバー脅威がさらに深刻化しているとの認識を示しており、松本サイバー安全保障担当大臣を中心に各大臣がリーダーシップを発揮し、政府内の情報セキュリティ対策と重要インフラ事業者における脆弱性対応を一層強化することが指示されました。

脅威ハンティングとは何か——従来のセキュリティ対策との根本的な違い

脅威ハンティングという言葉は、「セキュリティの専門チームが社内にいない中小企業には関係ない話」と受け取られることがあります。しかし今回の政府基本方針は、すべての重要インフラ事業者・基幹インフラ事業者を段階的な支援の対象として明確に位置づけており、まず「どういうものか」を正確に理解することが出発点となります。

従来の監視との違い——「待つ防御」から「探す防御」へ

これまでのセキュリティ対策は、基本的に「アラートが鳴ったら調査する」という事後対応の積み重ねでした。ファイアウォールやアンチウイルスソフト、SIEM（セキュリティ情報イベント管理）は、既知の脅威パターンや既知のマルウェアシグネチャと照合することで攻撃を検知します。ルールに一致したものだけが「アラート」として浮かび上がり、セキュリティ担当者はそれに反応します。この方式は、攻撃者が既知の手法を使う限りは有効です。

しかし今日の高度な攻撃者——特に国家を背景とするAPTグループ——は、既知のシグネチャには引っかからない手口を意図的に選択しています。ゼロデイ脆弱性の悪用、正規ツールを使った攻撃（Living-off-the-Land）、カスタムマルウェア。これらはSIEMのルールに一致しないため、アラートが鳴らないまま攻撃者が数週間・数か月にわたって組織内部に潜伏し続けます。「アラートが鳴っていないから安全だ」という前提が崩れているのが現代の状況です。

脅威ハンティングはこの前提を逆転させます。「すでに侵入されているかもしれない」という仮説からスタートし、アラートが鳴っていないシステムの内部を積極的に探索します。過去のログ・エンドポイントの挙動データ・ネットワークトラフィックを掘り起こし、攻撃者が存在するならば残るはずの微細な痕跡（Indicators of Attack: IoA）を人間のアナリストが仮説を立てながら追います。

脅威ハンティングの基本プロセス

実際のハンティングは大きく4つのフェーズで進行します。

まず「仮説の設定」です。「もしBlackTechのような攻撃者が潜伏しているとしたら、どのような痕跡がどこに残るか」という問いを立てます。攻撃者の既知のTTPs（戦術・技術・手順）や直近の脅威インテリジェンスをもとに、探索の仮説を構築します。政府基本方針が「政府からの情報提供・助言」（第2の柱）を強調しているのは、この仮説の質が政府保有の脅威インテリジェンスによって高まるためです。

次に「データ収集と前処理」です。エンドポイントのプロセス実行ログ・ネットワークフロー・DNSクエリ・認証ログ・コマンド実行履歴など、複数のデータソースを横断的に収集・統合します。政府基本方針がStep2（ログの収集・集約）を段階的支援の基礎として位置づけているのは、ここに分析材料が存在しなければハンティング自体が成立しないためです。

続いて「分析と探索」です。統計的な異常（正常なユーザーとは異なる時間帯のログイン・通常ありえないプロセスの親子関係・量的に不自然な内部通信等）を手がかりにしながら、仮説が正しいか否かを検証します。ここに人間のアナリストの経験と判断が介在する点が、ルールベースの自動検知と決定的に異なるところです。

最後に「対応・文書化・フィードバック」です。脅威が発見された場合は封じ込め・排除・復旧へと進みます。発見されなかった場合でも、「この探索を行った」という記録は次の仮説の精度を高める資産となります。ハンティングで得られた知見を検知ルールに昇格させることで、SIEMやEDRの精度が向上するという好循環も生まれます。

誰が担うのか——専任チームがなくても始められる段階的アプローチ

脅威ハンティングと聞くと「専任の高スキルアナリストが必要」というイメージがありますが、政府基本方針の段階的支援はこの誤解を前提に設計されています。Step1（従来の対策の徹底）・Step2（ログの収集・集約）から始め、組織のセキュリティ成熟度に合わせてStep3（ログ分析）→Step4（本格的なハンティング）へと進む道筋が用意されています。

当面の現実的な対応として、外部のマネージドセキュリティサービスプロバイダ（MSSP）や、政府が整備する演習・研修プログラムを活用しながら段階的に内製能力を積み上げるアプローチが想定されています。

なぜ「侵入されることを前提」にしなければならないのか——BlackTechが示した現実

今日の政策決定がなぜ今でなければならなかったのか、最も明確な答えを与えるのが実際の攻撃事例です。

中国政府背景とされる攻撃グループ「BlackTech」は、2010年頃から日本を含む東アジアや米国の政府機関・重要インフラ・先端技術分野を標的にしてきました。同グループは本社と海外子会社をつなぐルーターを侵害し、稼働中のシスコ社製ルーターのファームウェアを改ざんされたものにひそかに入れ替えます。この改ざんにより、自身の活動ログを隠蔽しながら対象ネットワーク内に長期間潜伏し、組織の内部から別のシステムへと横展開していきます。警察庁とNISCは、米国のNSA・FBI・CISAと共同でBlackTechへの注意喚起を発出しています。

この攻撃が特に厄介なのは、すでに組織内部の「信頼されたルーター」を足がかりにしているため、境界型のファイアウォールだけでは侵入後の内部活動を検知できない場合がある点にあります。従来型の監視では発見すら困難な高度な潜伏手口であり、システム内部を能動的に探索する脅威ハンティングが不可欠な理由がここにあります。

「Volt Typhoon」と「Flax Typhoon」はともに中国との関連が指摘されますが、それぞれ別の攻撃グループです。Flax Typhoonは、SOHOルーターやIPカメラ、DVR、NASなど世界各地の20万台を超える機器を感染させ、攻撃通信の中継に利用するボットネットを構築していました。米司法省は2024年9月、このボットネットを破壊したと発表しています。Volt Typhoonも別の活動として、侵害したSOHOルーターなどを攻撃通信の中継に利用してきました。

基本方針が「有事を見据えた重要インフラ等への侵入」として示す攻撃の特徴——最深部・制御系システムへの高度な侵入能力と、システム内寄生戦術（Living-off-the-Land）を使った高度・長期的な潜伏能力——はまさにこれらの実例に基づいています。

米国が蓄積した実績——HFOの100回超と「前線での偵察」

能動的な脅威ハンティングを国策として先行展開してきた代表例が米国です。2018年の国防総省サイバー戦略で「Defend Forward（前方防衛）」と「Persistent Engagement（持続的関与）」を打ち出した米国は、軍と文民の両翼で独自のアプローチを展開しています。

ハントフォワード作戦（HFO）

米国サイバー軍（USCYBERCOM）のサイバー国家任務部隊（CNMF）は、同盟国・パートナー国の招待に基づいて防護チームを現地に物理的に派遣し、共同で脅威ハンティングを行う「HFO」を実施しています。2023年5月時点で22カ国・47回の実施でしたが、その後も展開は拡大し、2026年時点では30カ国超・100回を超えています。2023年を対象とした報告では17カ国に22回展開し、2018年以降の活動は累計90種類を超えるマルウェアサンプルの公開につながりました。

ロシアによる侵攻前にウクライナへチームを派遣し、マルウェアや攻撃活動の発見・分析を行い、ウクライナ側によるネットワーク防御と対処を支援した事例が、HFOの戦略的価値を示す代表例です。前線で収集したTTPs（戦術・技術・手順）は即座に米国内の防衛に活かされ、「防衛的なハンティングが広範な作戦サイクルのための情報収集段階として機能する」というエコシステムを形成しています。

CISAによるランサムウェア脆弱性警告パイロット（RVWP）

国内の文民領域では、CISAが2023年から「RVWP」を運用しています。重要インフラの外部公開資産を自律的にスキャンし、ランサムウェアが好んで悪用する脆弱性を持つ組織に対して、攻撃者が侵入する前に担当者が直接電話・メールで通知するプログラムです。プログラム開始直後には、Microsoft Exchangeの「ProxyNotShell」の脆弱性が外部に露出していた93の重要インフラ組織を特定して通知し、早期の修正を促しました。これは基本方針の「第2の柱：実効性向上（政府からの情報提供・助言）」が実用化された先行モデルといえます。

英国が示す「社会規模の能動的防御」——ACD 2.0の出口戦略

英国NCSCが2017年から展開する「Active Cyber Defence（ACD）」プログラムは、フィッシングや悪性ドメインなど大量・汎用的な攻撃を社会規模で減らすことを目的とした、国家主導の自動化防御の枠組みです。高度な標的型攻撃を組織内部で探索する脅威ハンティングとは性格が異なりますが、国家が主導して社会全体のサイバー衛生環境を底上げするモデルとして参照価値があります。

第6次年次報告書（2022年実績）によると、不審メール報告サービス（SERS）が710万件（約5秒に1回）の報告を受理しました。2020年4月のSERS開始以降、累計23万5,000件の悪意あるURLが削除されており、平均削除時間は6時間未満です。Takedown Serviceは2022年に約180万件の悪性キャンペーン・約240万件の関連URLを処理しました。NCSCサービスへの企業登録は前年比39%増加しています。

NCSCは2024年8月、「ACD 2.0」への移行を発表しました。「民間市場が提供できない領域においてのみ国家が介入し、成功したサービスは概ね3年以内に他の政府機関または民間へ移管する」という出口戦略は、日本の基本方針が掲げる「第1の柱：段階的支援」の先にある姿を示しています。

日本が解決すべき3つのギャップ

今回決定された基本方針と米英の実践を比較すると、制度の実効性を高めるために対処すべき3つのギャップが浮かび上がります。

①インテリジェンス循環の速度と情報提供への環境整備

ハンティングの価値はインテリジェンスの循環速度にあります。基本方針では協議会を通じた脅威情報の共有が明記されていますが、ハンティングに不可欠な深い技術的コンテキスト（通信ログ・侵入経路の仮説等）を企業が積極的に提供するためには、報告した企業に過度な法的負担や風評被害が生じないよう配慮した制度設計が重要になります。

②透明性の確保と社会的受容性

通信情報の利用やテイクダウン措置は平時の国家権限の大幅な拡大を意味します。なお、通信情報利用制度の施行は2027年秋までを予定しており、これを審査・監視する「サイバー通信情報監理委員会」はすでに2026年4月1日に設置されています。同委員会による独立した審査・検査と国会への定期報告が制度への信頼を左右します。英国NCFが「責任あるサイバーパワー」ドクトリンを公開し自らの作戦がいかに法に準拠しているかを社会にアピールし続けているように、NCOが定期的に透明性の高い運用状況を国会・国民に公開し続ける姿勢が問われます。

③中小企業を含むサプライチェーン全体への拡張

基本方針の対象は政府機関・基幹インフラ15業種の指定事業者258者・重要インフラ事業者等であり、直接義務が課される組織は限定的です。BlackTechが証明したように、国家背景の攻撃者は監視の目が届きにくい海外子会社・委託先・家庭用ルーターを起点として侵入します。英国がACDを中小企業全体に無料展開したように、日本も2026年度末に開始予定の「セキュリティ対策評価制度（星付きラベリング）」と組み合わせながら、サプライチェーン末端まで網羅する支援体制の構築を並行して進める必要があります。