高市早苗首相は2026年11月6日、首相官邸で第2回サイバーセキュリティに関する関係閣僚会議を開き、「サイバーセキュリティ緊急対策パッケージ」について議論したと発表した。官邸の発表ページと内閣官房の会議資料では、パッケージは「（案）」として示されている。
首相は、不正アクセスや情報漏えいが相次ぎ、国民生活や企業活動に大きな影響が出ていると述べた。同日の閣議では、直ちに必要な約100億円の予備費を措置したという。
4つの柱と、パッケージの位置づけ
会議資料は、昨今の漏えい事案で、既知の脆弱性の放置やウェブサイトの設定不備、開発時のセキュリティ対策の不足が多く見られたと指摘している。自組織だけでなく、委託先の基本的な対策が不十分だった例も多いとする。AIの進展で、こうした隙が短時間かつ大規模に突かれる時代になったという認識である。
そのうえで、4つの柱を立てた。1つ目はAIも活用した基本的な対策の徹底、2つ目は情報収集・集約と捜査・分析体制の強化である。3つ目はサイバー攻撃への対処の戦略的な実施、4つ目は被害者支援と被害拡大防止策の強化となる。
資料は、このパッケージを、早期に実施や着手ができる施策を中心にまとめた「第一歩」と位置づけている。制度面の整備や、ベンダと契約事業者のシステム契約の在り方の周知などは、中長期の課題として検討を深めるとしている。
基本対策の徹底とAIを使った脆弱性対策
1つ目の柱では、まず国家サイバー統括室が、ウェブサイトやモバイルアプリの運用・管理、設計・開発、サプライチェーンを通じた侵害への対策について、注意喚起を出す。個人情報保護委員会は、保有する個人データの最小化を進める。本人確認で取得した画像などの保存に関するルールは、2026年度中に業種ごとの注意喚起を検討する。安全管理措置のガイドラインの改正も加速させ、2027年1月中の施行を目指すとしている。
AIを使った脆弱性対策では、IPAに高性能AIの活用環境を整え、模擬的な攻撃テスト（ペネトレーションテスト）を行う「トップガン人材」のチームを、11月中に立ち上げる。このチームは、民間企業を支援するセキュリティ企業に対し、人材育成やAIを使った検証環境の提供も行う。政府システムでは、AIによる脆弱性診断を前倒しできるものから、できるだけ早く実施する。
地方公共団体には、総務省から3点を要請する。委託先が提供するものを含め、すべてのウェブシステムとその対策を把握すること。多要素認証の導入や保有情報の最小化を徹底すること。そして、AIを使った脆弱性診断を行い、対策が終わるまで一時的なサービスの停止も検討することである。
攻撃への対処と被害者支援
3つ目の柱では、被害に遭った組織への支援の仕組みが具体的に示された。国家サイバー統括室は、被害のおそれがある組織に能動的に接触する「アウトリーチ・チーム（仮称）」を、今月中に新設する。被害組織から要請があり、必要性が特に認められる場合には、官民の専門人材からなる「官民サイバー救援隊（仮称）」を派遣し、初動対応を支援する。事務局は2026年度中の早い時期に、国家サイバー統括室内に置く。
国民の生命や財産に重大な危害が及ぶような事案では、国家サイバー統括室、所管省庁、警察、防衛省・自衛隊などの職員による「ジョイント・レスポンス・チーム（仮称）」を派遣する。被害組織の同意を得たうえで、複数回の聴取を避けるなど、負担を減らしながら支援するとしている。中小企業向けには、「サイバーセキュリティお助け隊サービス」に、復旧やバックアップなどの支援メニューを加える。
このほか、重要な事業者には、攻撃の痕跡を探す「脅威ハンティング」を働きかけ、年内を目途にマニュアルと検知ツールを提供する。サプライチェーン向けのセキュリティ対策評価制度は、2027年3月頃に運用を始める予定で、評価を取得した企業が被害に遭った際に、関係情報を求められる仕組みも入れる。被害者支援では、全国約6万人のデジタル推進委員が、サイバーセキュリティの研修を受けて助言にあたる。
首相が示した追加の指示
首相は会議で、各大臣に追加の指示も出した。古川大臣には、サイバー対処能力強化法の改正の検討を進めるよう求めている。国家サイバー統括室への情報集約の時間も、大幅に短縮する考えだ。基幹インフラ事業者からの報告は、できれば数時間、少なくとも同日中に伝わるようにすることを目指す。
あわせて、民間企業への不審な通信を国家サイバー統括室が把握し、分析できる仕組みについても、主要国の例を参考に検討するよう指示した。サプライチェーンのリスクについては、政府システムの点検を進め、官民でリスクを下げる制度を国家安全保障局を中心に検討するとしている。
日本企業への示唆
まず、委託先を含めた基本対策の棚卸しが求められる。資料が繰り返し挙げているのは、既知の脆弱性の放置、設定の不備、開発や委託先の管理である。自社のウェブサイトやアプリ、委託先が運用するシステムについて、脆弱性の対応状況と設定を確認したい。
次に、保有する個人データの見直しがある。本人確認で取得した画像などは、保存期間と保存方法の基本ルールが検討される。不要なデータの消去を進めれば、万一侵入されても被害を小さくできる。
最後に、インシデント時の相談先と報告の流れを決めておく。官民サイバー救援隊などは、派遣の条件や開始時期が今後の整備に委ねられている。民間企業に求められる報告の内容や、法改正の中身も、現時点では示されていない。続報を確認しながら、自社の対策を見直したい。
ITトレンドでセキュリティ診断についてチェック！[【ランキング】セキュリティ診断サービスおすすめ19選比較！料金相場]
不正アクセスの動向はこちらもチェック！[JPCERT/CCが国内で相次ぐ不正アクセスに注意喚起——内部APIの悪用や既知の脆弱性探索など3つの攻撃類型、BIツールや従業員向けシステムも点検対象に]
まとめ
政府は2026年11月6日、4つの柱からなる緊急対策パッケージ（案）を議論し、予備費約100億円を措置した。IPAのトップガン人材チームとアウトリーチ・チームは11月中に、官民サイバー救援隊の事務局は2026年度中の早い時期に立ち上がる予定である。
首相は法改正の検討も指示しており、民間企業に求められる対応の詳細は今後の発表を待つことになる。
