基幹インフラ258社に攻撃の報告義務 機器の届出は2027年3月末まで
3〜5日以内ランサムウェアなどを見つけてからの速報
30日以内詳しい報告
2027.3.31使っている重要な機器の届出
サイバー対処能力強化法のうち、国と会社が情報を共有する部分が施行されました。電力・通信・金融など15分野の258社は、重要なシステムで不正アクセスなどを見つけたら、担当の大臣と内閣総理大臣に報告します。
3月末の届出までに、どの機器がどこで動いているかを全社で洗い出す必要があります。
公開日 2026年11月3日
サイバー対処能力強化法のうち、国と会社が情報を共有する部分が施行されました。電力・通信・金融など15分野の258社は、重要なシステムで不正アクセスなどを見つけたら、担当の大臣と内閣総理大臣に報告します。
3月末の届出までに、どの機器がどこで動いているかを全社で洗い出す必要があります。
約100組織官民協議会に入る予定の組織の数
国が攻撃に使われるサーバーに入り、止める措置が始まりました。通信の情報を使う分析は、2027年秋に始まります。
協議会に入る約100組織が、国と攻撃の情報をやり取りする相手になります。
取引先のセキュリティを★の数で示す制度で、IPAが★3・★4の評価の手引きを公開しました。★4は外の機関が評価し、その機関の申請は10月26日に締め切られました。
★を求められるのは大企業の取引先、つまり中堅・中小の製造業や物流。★4を評価する機関の名前は、12月下旬に出ます。
JPCERT/CCは、Webのシステムの脆弱性（セキュリティ上の弱点）やAPIの不正な操作を使った攻撃を挙げました。AIで侵入テストを自動で行う道具を、攻撃に使う試みにも触れています。
攻撃する側がAIを使い始めたので、診断する側も、AIを使った攻撃を想定したテストを求められます。
181社11回目の業界横断の演習
基幹システムが攻撃されたときの動きを、銀行・証券・暗号資産の会社などで確かめました。演習の運営は、2025年度・2026年度ともニュートン・コンサルティングが受けています（2026年度は8,799万円）。運営は2024年度のNTTデータ経営研究所から、2025年度にニュートン・コンサルティングへ移りました。
123件警察庁が数え始めた2020年下半期以降で最多
被害に遭った会社の約6割が中小企業で、入口の約5割はVPN機器でした。復旧に1,000万円以上かかった組織は6割にのぼります。
中小企業は監視を外に任せるしかありません。それなのに、監視や診断を売る上場のブロードバンドセキュリティ・バリオセキュア・セキュアヴェイルの本体の社員は、4年で14〜15%しか増えていません。
入口は、ログインの仕組みに使っていたオープンソースのソフトの脆弱性でした。そこから、仮想化基盤の管理者の権限を不正に取られています。再発防止策に挙がったのは、ソフトの部品表（SBOM）の管理と、ログインの多要素認証でした。
26,739件影響の可能性があるサーバー
一部の顧客のサーバーに不正なプログラムが置かれ、10月21日には約80億円を要求する脅迫メールが届きました。GMOは10月24日、政府の関係機関に能動的サイバー防御の適用を求めています。
10月に始まったばかりの仕組みを、被害に遭った会社のほうから求めました。
グループのサーバーへの攻撃を確認し、ネットワークを切り離しました。一部のグループ会社の営業システムは止まりましたが、列車は動き続けています。10月16日には、攻撃者を名乗る組織による情報公開の主張を確認し、調べています。
銀のさらなどを運営する同社の個人情報は、外部の運営会社のサーバーに預けていました。そのサーバーが攻撃され、データは取り出すことも戻すことも難しい状態です。公式サイトとアプリからの注文も止まりました。
自社が攻撃されなくても、委託先が止まれば注文が止まります。委託先の管理（サードパーティリスク管理）は、監査やガバナンスの経験者が担う仕事です。
デジタル庁・国家サイバー統括室・IPAなど8機関の委託は、令和6年度から155億円です。会社のグループで最も多いのは日立グループ（19.4億円）で、IPAのシステム開発や人の派遣、国家サイバー統括室の調査・演習の支援を受けています。侵入テストの上位にはFFRI・ファイブドライブ・GMOサイバーセキュリティと専業の会社が並びます。ただ、PwCコンサルティングやアビームコンサルティングも、省庁の脆弱性診断やペネトレーションテストを受けています。国家サイバー統括室のマネジメント監査の手伝いは、大手会計事務所系（Big4）のKPMGとトーマツが毎年分け合っています。
同じセキュリティでも、攻める仕事なら専業、ルールと監査ならBig4、政策なら総研と、行き先が分かれます。
15社サイバーセキュリティお助け隊サービス（新類型）実証事業、合わせて14.2億円
中小企業向けのお助け隊の新しい型を試す事業で、IPAが公募で15社と契約しました。セキュリティ専業は三井物産セキュアディレクション、GMOサイバーセキュリティ byイエラエ、セキュアイノベーションの3社です。ほかは、保険のSOMPOリスクマネジメント、複合機のリコージャパンと富士フイルムビジネスイノベーションジャパン、千葉銀行系のちばぎんコンピューターサービス、大阪商工会議所、NTTデータなどです。
中小企業向けのセキュリティを売るのは、もともと中小企業に営業網を持つ会社です。
深掘り記事を読む2025年度は「被害組織から攻撃技術情報を集める手法の検証」、2026年度は「インシデント情報等の周知」で、どちらも4.8億円の随意契約です。毎年の連絡調整（約5,500万円）と合わせ、2024年度の0.7億円から約7倍になりました。
国からJPCERT/CCへの委託は、報告義務が始まる前の2025年度から大きく増えていました。
国家サイバー統括室は、国内外のサイバー関係法令の調査を2年続けて法律事務所に出しています。
報告義務とEUの規制が重なり、法令とセキュリティの両方が分かる人の出番が増えています。法務からセキュリティに移る道もあります。
26,424人10月1日付の新規登録は756人
セキュリティの国家資格、情報処理安全確保支援士の登録者数をIPAが公表しました。
上場しているセキュリティ会社13社の本体の社員を合わせると3,437人で、登録者はその約8倍です。
EUで売るデジタル製品のメーカーは、実際に悪用された脆弱性と重大な事故を、EUの窓口（ENISA）に報告します。
EUに製品を出す日本のメーカーでは、製品の脆弱性に対応する部署（PSIRT）が報告の窓口になります。