総務省、通信事業者のサイバー対策義務化を検討―委託先の一体管理や事故時の業務停止権限も論点に

総務省が、通信事業者に対してサイバーセキュリティ対策を新たに義務付ける方向で検討を進めると、2026年10月16日付の日本経済新聞が報じました。自社設備だけでなく委託先も含めた管理を求め、情報漏えいなどが発生した場合に総務省が業務の一時停止を指示できるようにする法改正も検討対象になるとしています。

ただし、10月16日時点で新たな義務や停止命令の要件が施行されたわけではありません。報道によると、10月22日に有識者による検討を始め、2027年初めに一部論点、同年夏に報告書をまとめる見通しです。今回の議論は、通信事業者の自社システムだけでなく、複数社が利用する通信基盤や運用委託先の管理責任をどこまで制度化するかという問題に関わります。

通信事業者のサイバー対策義務化、何が検討されるのか

• 2026年10月16日、日本経済新聞が総務省の制度見直し方針を報道しました。
• 電気通信事業者のサイバー対策を法令・指針でより明確に求めることが主な論点です。
• 対象は自社の通信設備だけでなく、下請け・外部委託先を含めた管理へ広がる可能性があります。
• 情報漏えいなどの際に、総務省が事業者に業務の一時停止を指示する仕組みも検討対象と報じられています。
• 10月22日の有識者会議、2027年初めの論点整理、同年夏の報告書という日程は、現時点では報道に基づく見通しです。
• 具体的な義務の対象事業者、要求する安全管理措置、違反時の処分要件は確定していません。
• 背景事例として、KDDIのISP共通メール基盤に加え、IDCFクラウドへのランサムウェア攻撃で495の企業・自治体に影響が広がった事案があります。
• 既存の電気通信事業法上の設備・事故に関する規律や、経済安全保障推進法の基幹インフラ制度とは、目的・適用範囲を分けて整理する必要があります。

背景にある「一つの通信基盤から複数事業者へ」のリスク

2026年6月、KDDIは、インターネット接続事業者（ISP）向けに提供するメールシステムが不正アクセスを受けたと発表しました。6月17日に侵害を確認し、第三者製ソフトウェアの脆弱性が悪用されたと説明しています。

対象になったのは、@nifty、BIGLOBE、J:COM、コミュファ光、ピカラ、CPIに関連するメールサービスです。KDDIが当初公表した影響範囲は、メールアドレスとパスワード最大1,422万件の「漏えいの可能性」であり、全件の漏えいが確定した数値ではありません。

セキュリティ対策Labが報じたKDDIへの報告徴収では、不正アクセス後の総務省による報告要求も取り上げています。一社が提供する共通基盤で事故が起きると、別会社の名前でサービスを利用する人にも影響が及ぶという点で、今回の委託先管理を考える上で具体的な事例です。ただし、総務省が今回の制度検討の直接の原因としてKDDI事案を名指ししたと確認されたわけではありません。

IDCFクラウド：495の企業・自治体に障害が波及

ソフトバンク子会社のIDCフロンティアが提供する「IDCFクラウド」では、2026年10月7日午前3時40分頃からランサムウェア攻撃による障害が発生しました。東日本リージョン1の4ゾーンが影響を受け、契約先495の企業・自治体にサービス停止などが波及しました。メール配信、予約・通販関連サービス、企業向けリモートアクセスなど、利用事業者側で異なる機能が同じクラウド基盤に依存していたことが明らかになっています。

IDCフロンティアは10月8日の第3報で、影響対象の顧客データについて取り出しや復元が困難との見通しを示しました。その後、10月14日の第5報では、スナップショット機能を利用していた194顧客について、バックアップデータの取り出しが可能と確認したと発表しています。ただし、データの取り出しが可能になったことと、システムや業務が復旧したことは別です。

同社は第5報で、障害を受けた4ゾーンの顧客仮想サーバー内データについて、照会や外部持ち出しの痕跡がなく、外部流出はなかったと判断しました。一方、クラウド管理用の「IDCFクラウドポータル」では48社の登録情報への不正照会を確認しています。こちらも持ち出しの痕跡は確認されていません。影響を受けた利用企業・自治体の公表状況は、IDCFクラウド攻撃の影響先まとめで整理しています。

この事案は、対策を自社のシステムだけで完結させる難しさに加え、委託先・クラウド事業者での事故発生時に、データとバックアップの所在、復旧手段、顧客への説明責任がどのように分かれるかという実務上の課題を示します。ただし、IDCフロンティアのクラウド事業そのものが今回報道された規制の対象になると決まったわけではありません。

委託先との接続・情報管理で生じる問題

過去のLINEヤフーの事案でも、委託先側の端末や認証基盤を介した不正アクセスが問題となりました。経緯と再発防止策はLINEの情報漏えい・情報管理問題まとめに集約しています。今回の制度検討を考える際には、直接契約する委託会社だけでなく、共通基盤や再委託先への依存状況を把握する視点も必要です。

すでにある「通信の安全管理」と、新たな規制の違い

通信事業者には、これまでも電気通信事業法に基づく設備の安全・信頼性や事故報告、通信の秘密の保護などの規律があります。したがって、今回の報道は「通信事業者に初めてセキュリティの義務が生まれる」という意味ではありません。どの事業者に、どの対策を、どの程度まで一律またはリスクに応じて要求するかが焦点です。

さらに、経済安全保障推進法に基づく基幹インフラ制度では、指定された事業者が特定重要設備を導入したり、その重要維持管理等を委託したりする際、国への事前届出と審査が求められています。これは設備の導入・委託に関する制度で、今回報じられた通信事業者全体へのサイバー対策義務化と同一ではありません。

また、総務省は2026年5月29日に「巧妙化・複雑化するサイバー攻撃への対策の在り方に関する検討会」の初回会合を開催しています。この会議は通信事業者をはじめとする関係主体の対策と連携を扱うものでした。10月22日に始まると報じられた検討との関係や正式な議題については、総務省から公表される会議資料を確認する必要があります。

一方、2026年10月9日には国家サイバー統括室が相次ぐ大量情報漏えいを受けて対策強化を要請しています。そこでは脆弱性、委託先・再委託先、データ保管やアクセス権限の管理などが挙げられました。国家サイバー統括室の注意喚起を整理した既報と比べると、今回の焦点はこうした対策を通信事業者の法令上の義務としてどこまで定めるかにあります。

情報漏えい時の「業務停止」は何を意味するのか

日本経済新聞が報じた検討事項の一つが、事故時に総務省が業務の一時停止を指示できる仕組みです。ただし、どの事故を対象に、サービス全体の停止を命じるのか、問題のある設備や一部業務に限定するのかといった具体的な要件は公表されていません。

通信サービスは、一般利用者の連絡手段だけでなく、医療、金融、物流、自治体の業務にも関係します。10月のIDCFクラウドの事案のように、共通基盤の障害が多数の利用者に波及する場合、被害拡大を防ぐために基盤を隔離する判断と、代替環境への移行・業務継続との調整も必要になります。事故後の被害拡大防止と、サービスを止めることによる社会的影響をどう両立させるかは、制度設計上の論点になります。「情報漏えいがあれば通信網を自動的に停止する」と決まったわけではありません。

加えて、今回報じられた業務停止の行政権限と、政府が攻撃に使用されるサーバー等へ対処する「能動的サイバー防御」の制度は別の枠組みです。両者を混同しないことが必要です。

通信事業者と委託先が今から確認できること

制度の対象と要件が固まる前でも、委託範囲を整理する作業は進められます。具体的には、顧客向け通信サービスを支えるメール基盤、認証基盤、クラウド、ネットワーク監視、保守用リモート接続といった機能ごとに、運営主体と再委託先を一覧化します。さらにバックアップが本番と同じ基盤・認証に依存していないか、別の環境でデータを復元できるかも実際に確認します。そのうえで、障害・侵害が発生した場合に、委託先のログを誰が保全し、誰が影響先へ連絡し、誰が行政報告の要否を判断するかを確認できます。

管理上の優先順位は、委託先の企業規模だけでは決まりません。複数のISPが同じメールシステムに依存している、外部保守アカウントが本番の認証基盤に接続できる、障害時に別経路へ切り替えられないといった「共通障害点」を先に把握する必要があります。取引先評価や再委託先監督の具体的な手順は、委託先のセキュリティ管理の実務解説で整理しています。

今後は、総務省が公表する会議の正式名称、対象事業者の定義、義務の内容、監督・是正命令の条件、既存制度との整理が、制度変更の有無を判断する材料になります。

出典

• 通信事業者にサイバー防衛義務化　委託先含めた管理要請、総務省検討 – 日本経済新聞（2026年10月16日、会員限定）
• ISP事業者向けメールシステムに対する不正アクセスの発生について – KDDI（2026年6月23日）
• 【第5報】不正アクセスによる障害に関する調査の進捗について – IDCフロンティア（2026年10月14日）
• 基幹インフラ役務の安定的な提供の確保に関する制度 – 内閣府
• サイバー攻撃対策の在り方検討会を設立、5月29日に初回会合 – 電波タイムズ（2026年5月15日）
• 国家サイバー統括室、大量の個人情報漏えいを受け対策強化を要請 – セキュリティ対策Lab（2026年10月9日）