日本最強クラスのITインフラを誇る巨大企業が深刻なサイバー攻撃を受け、国に対して「攻撃元を無害化してほしい」とSOSを出したら、一体どうなるでしょうか？
多くの人は「国が警察や自衛隊を動かし、すぐさま悪質な攻撃者を撃退してくれる」と期待するかもしれません。2026年10月1日、日本はサイバー空間での先手対応を可能にする国家的な新枠組み「能動的サイバー防御（ACD）」を本格施行しました。そして同月、GMOインターネットグループがこの制度の「発動第1号」を目指して政府に緊急要請を行いました。
しかし、現実はあまりにも冷酷でした。「国が守ってくれる」という一般のイメージと、実際の法制度の間には、埋めようのない決定的なギャップが存在していたのです。今回は、この事案を通じて浮き彫りになった「能動的サイバー防御」の本質を解き明かします。
2026年10月24日、GMOインターネットグループは「お名前.com デスクトップクラウド」への不正アクセスを受け、国家主導で攻撃基盤の追跡・遮断・無害化を進めてほしいと政府関係機関に緊急要請しました。民間からの初の発動要望として大きな注目を集めましたが、政府側の反応は冷静かつ素っ気ないものでした。
司令塔である内閣官房の「国家サイバー統括室（NCO）」幹部は、「個別企業からの要請を受け付ける仕組みはない」と明言。法的に、企業からの「要請」によって国家権力が作動するトリガー（引き金）自体が用意されていないのです。
GMOが行ったSOSは、法制度上は単なる「情報提供」や「相談」の一つに過ぎません。政府が動くかどうかは、あくまで国家が主体的に「重大な危害のおそれ」などの要件を満たしているかを判断した場合に限られます。
「被害組織からの要請の有無にかかわらず、警察または防衛省・自衛隊で法律の要件に照らして適切に判断する」（木原官房長官）
この答弁が示す通り、民間企業が助けを求めたからといって、国が即座に動いてくれるわけではないのが現実です。
「能動的サイバー防御」という名称や、関連する法律整備で自衛隊法が改正されたことから、軍事的な防衛行動を連想する人も少なくありません。しかし、その実態は警察主導の「行政警察活動」であり、専守防衛の考え方をサイバー空間に拡張した仕組みです。
警察や自衛隊に与えられた権限は、相手への報復や破壊ではなく、被害防止のために不正プログラムを停止・削除する「無害化措置」にとどまります。日常的かつ重大なサイバー事案の主軸は警察であり、自衛隊が表舞台に立つケースは極めて限定されています。
「能動的サイバー防御（全体）」と「自衛隊法に基づく部分」の役割の違いを整理すると、以下のようになります。
観点
能動的サイバー防御（全体）
自衛隊法に基づく部分
目的
重大なサイバー攻撃から国・重要インフラを守り、被害を未然防止・拡大防止
左記のうち、国外からの高度・組織的攻撃で自衛隊の特別技術が必要な場合に限定
発動のタイミング
平時（武力攻撃事態でなくても可）のグレーゾーン対応
平時から可能（従来は武力攻撃事態認定後が中心だった点を改定）
主な担い手
警察が原則中心。自衛隊は共同で実施
内閣総理大臣の命令（閣議決定が必要、国会承認は不要）で警察と共同実施
性格
行政警察活動と安全保障の混合。被害防止が主眼
「通信防護措置」としての位置づけ。専守防衛の枠内で必要最小限
歯止め
独立委員会（サイバー通信情報監理委員会）の承認、国会報告
さらに厳格な要件（国外主体・高度な組織性など）と警察との共同が前提
このように、全体としては警察による行政・捜査活動がメインであり、自衛隊は特別な技術が必要な極めて限られたケースで支える立場にあります。
GMOインターネットグループは、国内トップクラスのITインフラと高度なセキュリティ人材を抱える企業です。そのGMOがなぜ国に頼らざるを得なかったのでしょうか。GMOの熊谷代表も自身のブログで「民間単独では限界がある」と明言していた通り、そこには技術力の不足ではなく、「権限と法制度の壁」が存在します。
サイバー攻撃者が海外のサーバーを踏み台にして攻撃を仕掛けてきている場合、民間企業が国境を越えて相手のネットワークに侵入し、攻撃基盤を無害化することは法的に不可能です。どれほど優秀なエンジニアが揃っていても、民間企業には捜査権も無害化の法的権限もありません。
サイバー空間の構造的限界を直視するとき、そこには次のような冷酷な現実が存在します。
「国境を越えた攻撃者に対して、民間だけでは手が届かない。警察権力や国家レベルの情報共有・国際連携に頼らざるを得ないのが現状の冷たい現実である。」
自社単体での対策に限界があることを、国内トップクラスのIT企業が公に認めたという事実は、サイバー空間における「守る側の圧倒的不利（非対称性）」を強烈に物語っています。
今回、期待と現実に大きなズレが生じた最大の理由は、能動的サイバー防御という制度が狙う「目的」と「施行タイムライン」にあります。
- 制度の本来の目的：被害が出る前の「兆候察知」と「未然防止・拡大防止」。
- 今回の事案：すでに不正アクセスが発生し、FX口座情報の漏洩や不正取引といった被害が生じた後の対応。
すでに漏洩などの被害が発生してしまった段階で、攻撃元サーバーを無害化したとしても、「過去に生じた被害の回復」には直結しません。そのため政府関係者の間でも、事後の無害化措置は「意義が乏しい」と冷ややかに見られる側面があります。
さらに、本制度の主対象は、電力、ガス、通信、金融など15分野の「特定社会基盤事業者（約258事業者）」です。国家の安全保障を揺るがすような基幹インフラへの攻撃を想定しているため、一般的な商用ITサービスにおける被害事案では、発動のハードル（重大性・緊急性）が極めて高く設定されています。
それに加え、攻撃検知の要となる「通信情報の利用権限（IPアドレスなどの機械的情報の取得・分析）」の本格施行は2027年秋頃を予定しています。2026年10月の制度本格施行時点では、政府側にとっても監視や通信解析のための「手足」がまだ十分に揃っておらず、情報収集自体が限られているという現実的な制約が存在するのです。
現代のサイバー空間では、攻撃者が「AIエージェント」を活用してハッキングの手順を高速化・自動化させています。一方で、守る側である国家の手続きには、独立委員会の承認、国外サーバーの場合の外交協議、閣議決定など、重重しい手続きが必要です。ここには「スピード感の致命的な差」が存在します。
情報社会論の視点から振り返れば、1990年代に商用インターネットが普及し始めて以来、私たちが享受してきた利便性の裏で、セキュリティや法整備という課題の支払いを先送りにしてきた負債が、いま一気に表面化しています。
- 国境を越えて攻撃しやすいネットワーク構造
- 利便性を追求した結果、民間企業に集中する重要データ
- 法制度や国際連携で後手に回り続ける防衛側
金融業界では以前から「民間単独対応の限界」が常識とされ、警察や政府との連携が前提となっていましたが、いまやその限界はクラウドや一般的なITサービスなど、すべての民間領域に波及しています。商用ネットが歩んできた歴史的構造欠陥が、AI時代の到来とともにいよいよ限界を迎えていると言えます。
「能動的サイバー防御」は、困った企業を国が魔法のように救い出してくれる「夢のサービス」ではありません。厳格な法律の要件、独立委員会のチェック、そして国際関係の制約の中で、警察や自衛隊が限られた権限を行使する泥臭く重たい制度です。
GMOクラスの巨大IT企業が「自社だけでは足りない」とSOSを出しても、国家の制度はすぐには動かない——この現実を前に、私たちは過度な期待も失望も捨て、冷静な視点を持つ必要があります。
利便性を最優先に進化してきたネット社会が、自らの構造的欠陥とAIの脅威によって自滅していく過程を、私たちはどのように見守るべきなのでしょうか。
感想
まだ感想はありません。最初の1件を書きましょう！