政府のサイバー緊急対策、中小企業支援とAI脆弱性検査を前倒し

高市早苗首相は、2026年10月26日に首相官邸で開いた初の関係閣僚会議で、「来週中を目途に、政府としての『緊急対策パッケージ』を取りまとめます。」と表明した。相次ぐ企業へのサイバー攻撃と大規模な情報漏えいを受け、中小事業者向け支援の拡充を急ぎ、AIを活用する模擬攻撃テストや政府システムの脆弱性検査を前倒しするよう指示した。

現時点で示されたのは施策の方向と担当であり、企業が新たな支援を利用できる条件はまだ決まっていない。会議後、国家サイバー統括室の担当者は、相次ぐ攻撃では「標的の調査や侵害にＡＩを使用している可能性は高い」と説明した。政府は財政措置も含めて対策を検討する方針で、被害企業への初動支援から攻撃情報の分析までを並行して進める。

中小事業者の相談から復旧まで、支援の経路を広げる

被害企業への支援では、情報処理推進機構（IPA）と警察の相談対応を充実させ、民間機関や地方自治体との連携を強める方針が示された。相談した窓口によって必要な支援にたどり着けない事態を減らすことが狙いだ。窓口の拡充と、調査や復旧を担う専門家の確保は、別の課題として進められる。

専門的な対応については、国家サイバー統括室が経済産業省の協力を得て、初動から復旧まで民間の高度な能力を活用する仕組みを構築する。被害の受付だけで終わらず、必要に応じて調査や復旧へつなぐための指示だ。ただし、どの企業が対象となり、専門家の支援にどのような費用負担が生じるかは、まだ示されていない。

中小企業・小規模事業者には、赤沢亮正経済産業相が「サイバーセキュリティお助け隊」の体制と支援策の拡充を速やかに検討する。相談窓口の抜本的な拡充に加え、事業者へ必要な情報を届ける方法も求められた。企業にとっては、相談の入口が増えるだけでなく、被害時にどの支援へつながるかが今後の具体化の焦点となる。

被害情報を集約し、サプライチェーンの警戒に生かす

情報収集の対象は、基幹インフラや重要インフラの事業者に限らない。各大臣が所管業界の被害企業から迅速に情報を集め、国家サイバー統括室へ集約する方針だ。同室が情報を分析し、想定される脅威やリスクに応じて、経営層、専門家、国民向けの発信を分ける構想である。

古川俊治サイバー安全保障担当相には、サイバー協議会へのセキュリティベンダー企業などの参加拡大を促す役割が示された。被害企業から行政へ届く情報に加え、民間側が把握する攻撃の兆候も収集力の強化に生かす。集めた情報を誰に、どの程度具体的に伝えるかは、分析結果と対象に応じて決めることになる。

サプライチェーン全体の攻撃観測網も、前倒しで整備する取組に含まれる。取引先を通じて影響が広がり得る中小企業を含め、観測した兆候を迅速な対策につなげる狙いだ。企業が参加する方法や、提供する情報の範囲は示されておらず、観測網の整備指示と利用開始を同じ時点の出来事として扱うことはできない。

AIを使う検査は、民間向けの取組と政府システムで異なる

IPAの専門人材による模擬攻撃テストと、別途前倒しされる政府システムの脆弱性検査

脆弱性の検証には、対象と実施主体が異なる取組がある。民間に関わる取組では、IPAの知見と人材を活用し、高性能AIも使いながら、専門人材が模擬的な攻撃テストでシステムの弱点を見つけて対策につなげる。赤沢経産相に前倒しの実施が求められ、古川担当相には成果を広く展開する方法の検討が求められた。

政府自身のシステムでは、各府省庁がAIセーフティ・インスティテュート（AISI）の知見も活用し、高性能AIによる脆弱性チェックを前倒しする。こちらは各省庁が担当するシステムの安全確保が目的で、企業向けの模擬攻撃テストとは対象が違う。中小企業が直ちに政府のAI検査を申し込める制度が始まったという意味ではない。

観測網が攻撃の兆候を捉え、模擬攻撃テストがシステムの弱点を探すという役割の違いもある。前者は取引関係をまたぐ警戒、後者は見つかった脆弱性への対策につながる。企業が検査に参加できる条件、結果の通知方法、弱点を修正する際の支援は、今後の制度設計を待つ必要がある。

アクセス・無害化措置は被害企業の要請だけでは決まらない

攻撃への対処では、実態を解明したサイバー攻撃に対し、アクセス・無害化措置を含む選択肢を戦略的に選んで実行する方針が示された。攻撃主体の特定に向けては、同盟国・同志国や海外の関係機関との連携も進める。企業への相談支援や脆弱性検査とは、担う機関も判断の手続きも異なる。

被害組織からの要請について、木原稔官房長官は、法律の要件に照らす判断を警察または防衛省・自衛隊が行い、要請の有無だけでは実施を決めないと説明した。個別事案への対応状況は、攻撃者に情報を与えるおそれがあるとして明らかにしていない。被害企業による情報提供は政府の支援や措置を検討する材料になるが、無害化措置の実施を保証するものではない。