企業への攻撃と情報漏えいの公表が続くなか、政府が閣僚による会議を立ち上げました。パッケージの中身は来週中に決まる予定で、ここに書く項目は報道時点のものです。被害が出たときの相談先や報告の流れに関わる項目が多く、企業の側で先に整えておけることがあります。

何が起きたか

政府は10月26日、首相官邸で「サイバーセキュリティに関する関係閣僚会議」の初会合を開き、高市首相は来週中をめどに「緊急対策パッケージ」をまとめるよう各大臣に指示しました。検討項目には、高性能なAIを使った模擬攻撃による脆弱性検証の前倒し、サプライチェーン全体での攻撃の観測網の整備、被害企業を支えるIPAや警察の相談体制の拡充、中小企業向けの「サイバーセキュリティお助け隊」の拡充、各大臣が所管業界の被害企業から情報を集めて国家サイバー統括室が分析・発信する仕組みが挙がっています。首相は、実態を解明した攻撃に対しては、10月1日に運用が始まった能動的サイバー防御の「アクセス・無害化措置」を含む手段を選んで実行する考えも示しました（ITmedia NEWS）。

なぜ自社に関係があるのか

  • *背景にある被害の続発。**2025年9月のアサヒグループホールディングス、同10月のアスクルへのランサムウェア攻撃以降、企業の被害公表が続いています。2026年9月にはカーシェアサービス「タイムズカー」から約660万件のアカウント情報が流出し、10月も公表が相次ぎました（ITmedia NEWS）。10月は本サイトでも、外部サービス経由の約22万件の漏えい、ソースネクストの2,252万件の流出、PHPの緊急脆弱性を取り上げました。10月24日には、GMOインターネットが自社サービスへの不正アクセスについて、政府関係機関に能動的サイバー防御の適用を要請しました。
  • *被害企業から情報を集める仕組み。**検討項目のとおりに決まれば、被害が出たときに所管の省庁から状況の説明を求められる場面が増えると考えられます。個人情報の漏えいでは、すでに個人情報保護委員会への報告が義務になっています（個人情報の漏えい報告義務）。報告先が増えても慌てないよう、誰がどの窓口に何を伝えるかを先に決めておく必要があります。
  • *AIを使った検証の前倒し。**高性能なAIで弱点を探せるようになったことは、攻撃する側にも当てはまります。国内のWebサイトをAIエージェントが8時間攻め続けた観測例もあります（解説記事）。脆弱性の公表から悪用までの時間が短くなる前提で、自社の更新の手順を見直す時期に来ています。

明日やること

  • 連絡先の一覧を作り直す。インシデント対応の手順書に、所管省庁の窓口、警察の相談窓口、IPA、個人情報保護委員会を入れる。電話番号と受付時間まで書いておく
  • 自社の所管省庁を確かめる。事業ごとに所管が分かれる会社は、どの事業の被害をどの省庁に伝えるかを決める
  • 初動の担当を決める。被害が出た直後に誰が判断し、誰が社外と連絡を取るかを決める（インシデント発生時の初動対応）
  • 来週の公表を確認する。パッケージが出たら、自社の業界向けの要請や支援策が含まれていないかを確かめる

もっと知るには

被害が出たときの最初の動き方はインシデント発生時の初動対応、個人情報が漏れたときの報告先と期限は個人情報の漏えい報告義務で解説しています。取引先を経由した攻撃への備えはサプライチェーン攻撃とは、身代金を要求する攻撃の基本はランサムウェアとはをご覧ください。

出典

サイバー政策緊急対策パッケージ能動的サイバー防御国家サイバー統括室インシデント対応