1. 「能動的サイバー防御」が始まりました――国が通信を見るって本当？5つの法的論点を整理する
2026年10月1日に主要部分が施行された能動的サイバー防御制度は、基幹インフラへの攻撃を未然に防ぐため、官民連携、通信情報の利用、攻撃サーバーへの無害化措置を柱とします。
記事は、通信の秘密、監督と救済、無害化措置の限界、犯罪捜査・自衛権との区別、民間事業者の責任分担という5つの法的論点を整理し、制度の透明性と運用が安全と自由の均衡を左右すると指摘しています。
はじめに――「攻撃されてから対処」から「攻撃される前に防ぐ」へ
2026年10月1日、いわゆる「能動的サイバー防御」を導入するサイバー対処能力強化法（正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」）の主要部分が施行されました。電力や通信、金融といった基幹インフラへのサイバー攻撃が現実の脅威となるなか、被害が発生してから対処するのではなく、攻撃の兆候をつかみ、場合によっては攻撃元のサーバーに働きかけて被害を未然に防ぐ――それがこの法律の発想です。
制度の柱は大きく3つあります。
第一に、基幹インフラ事業者等と国の「官民連携」です。一定の事業者（特別社会基盤事業者）には、重要な電子計算機の届出やインシデント発生時の報告が義務付けられました。
第二に、攻撃を検知するための「通信情報の利用」です（2027年秋施行予定と報じられています）。
第三に、警察・自衛隊による攻撃サーバーへのアクセス・「無害化措置」です。これらを監督する独立機関として、サイバー通信情報監理委員会も設けられました。
もっとも、「国が通信を見る」「国がよそのサーバーに入る」という仕組みですから、
憲法やさまざまな法律との緊張関係が生じます。以下では、5つの法的論点を順に見ていきます。
論点① 「通信の秘密」との均衡
憲法21条2項は「通信の秘密」を保障しています。保護されるのはメールの中身のような通信内容だけではありません。
誰が、いつ、誰と通信したかといった外形的事項（いわゆるメタデータ）も保障の対象に含まれると解されています。そのため、攻撃検知のためとはいえ国が通信情報を取得・分析することは、通信の秘密の制約を正面から受けます。
法律はこの点に配慮し、対象となる通信の範囲を限定したうえで、取得・選別・分析・保存・提供の各段階で目的を限定し、必要最小限にとどめる仕組みを採用していると説明されています。
もっとも、「機械的な選別だから侵害の程度は小さい」とみるか、「幅広い取得自体が問題」とみるかは評価が分かれています。運用の実際――どこまでの範囲の通信が、どのような基準で選別され、どれだけの期間保存されるのか――が検証できる形で示されるかが、制度への信頼を左右すると考えられます。
論点② 監督と救済の実効性――サイバー通信情報監理委員会
通信情報の利用や無害化措置には、独立性の高いサイバー通信情報監理委員会による事前承認が原則とされ、検査や勧告、国会への報告といった仕組みも用意されています。
裁判所の令状ではなく行政内部の独立機関がチェックするという設計は、迅速性と専門性の観点から合理性があるとの見方がある一方、司法審査ではない点や、対象となった個人・事業者がその事実を知る機会が限られ、事後の救済を求めにくいのではないかという指摘もあります。
承認の運用状況がどこまで公表されるか、緊急時の事後通知・検証が形骸化しないかなど、委員会の実動が注目されます。
論点③ 無害化措置の限界
無害化措置とは、警察等が攻撃に用いられているサーバーにアクセスし、不正なプログラムを削除するなどして攻撃を止めるものです。外国政府が関与するような高度に組織的・計画的な攻撃については、一定の要件のもとで自衛隊が警察と共同で対処する仕組みも設けられました。
ここで難しいのは、「必要な防御の範囲」を超えないことの担保です。
攻撃に使われるサーバーは、多くの場合、乗っ取られた第三者の機器です。無害化のための操作が、その機器の正常な機能や無関係の第三者に被害を及ぼせば、防御の名のもとで新たな加害が生じかねません。また、サイバー攻撃では攻撃者の特定（アトリビューション）が技術的に難しく、誤った相手への「誤射」や、相手国からの反撃を招いて緊張が段階的に激化する危険も指摘されています。
どこまでの措置が「防御」として許されるのかは、国際法上の議論とも関わる未確定の領域であり、運用は慎重に行われるべきものと考えられます。
論点④ 犯罪捜査・自衛権との区別
本法に基づく通信情報の利用は、犯罪捜査ではなく、被害防止のための行政上の活動と位置付けられています。犯罪捜査のための通信傍受は、従来どおり裁判官の令状に基づく通信傍受法の手続によります。
また、無害化措置は武力攻撃に対する自衛権の行使とも別の制度です。目的も要件も手続も異なる以上、ある制度のために集めた情報や権限が、なし崩しに別の目的に流用されないか――この境界線の維持が、制度の正統性を支える重要なポイントになると考えられます。
論点⑤ 民間事業者との責任分担
この制度は、国だけでは動きません。特別社会基盤事業者には設備の届出やインシデント報告が義務付けられ、通信事業者には協定に基づく通信情報の提供など、官民の情報共有が前提となっています。
事業者にとっては、利用者に対して負う通信の秘密や個人情報保護の責任と、国への協力との板挖みになりかねない場面です。協定の締結は任意とされていますが、国から求められた場合に協議に応じる義務があるため、事実上断りにくいのではないかとの指摘もあります。
提供した情報がどう管理・廃棄されるか、協力に伴うコストや責任を誰が負うかは、今後の運用やガイドラインで具体化されていくものとみられ、対象事業者はもちろん、その取引先となる企業も動向を注視しておく価値がありそうです。
おわりに
能動的サイバー防御は、「安全」と「自由」のバランスをどこで取るかという、憲法以来の古典的な問いを、サイバー空間という新しい舞台で問うものです。
制度の評価は、条文の建付けだけではなく、監理委員会の実動や運用の透明性次第で大きく変わり得ます。2027年秋に予定される通信情報利用の本格稼働に向けて、引き続き注視していきたいテーマです。
当事務所でも、サイバーセキュリティに関わる社内体制や契約対応についてのご相談を承っております。
※本記事は一般的な情報提供を目的とするものであり、個別の事案に対する法的助言ではありません。具体的な案件については、必ず弁護士等の専門家にご相談ください。