「民間企業が受けたサイバー攻撃に対して、国家の防衛部隊が反撃・無害化を行うべきなのか？」

国内最大手のインターネットインフラ企業であるGMOインターネットグループが不正アクセス被害を受け、代表の熊谷正寿氏が政府に対して「能動的サイバー防御の適用可能性を検討してほしい」と提起したことが、大きな議論を呼んでいます。

2026年10月1日に関連法が施行されたばかりの「能動的サイバー防御」。なぜ熊谷社長はこの異例の要請を行い、政府側は慎重な姿勢を示しているのでしょうか？

ニュースの背景と技術的・法的な争点を、直感的な図解を交えてわかりやすく解き明かします。

3分でわかる！「能動的サイバー防御」と今回の対立構造

これまでの守り方

従来の防御（受動的）
  • 自社敷地内での迎撃: ファイアウォールやEDRで侵入を防ぎ、ブロックする。
  • 被害の極小化: 侵入されたら社内サーバーを切り離して復旧にあたる。
  • 限界: 相手が攻撃をやめない限り、ひたすら殴られ続ける「盾だけの戦い」。

新制度（2026年10月施行）

能動的サイバー防御
  • 攻撃元へ踏み込む: 被害が出る前や進行中に、警察や自衛隊が攻撃元サーバーへ潜入。
  • 無害化措置: 攻撃プログラムの停止や削除を行い、元凶を絶つ。
  • 法的要件: 「国家安全保障」に関わる脅威に対し、独立機関の事前承認等を経て発動。

⚡ 今回の論争ポイント：民間ITインフラは「国家が守るべき領域」か？
GMO・熊谷社長の視点

「インフラの被害は国民生活や多くの企業活動に直接波及する。高度な海外からの組織的サイバー攻撃に対し、民間企業単独の防衛には限界がある。適用可否を検討してほしい」

VS
政府関係者の視点

「能動的サイバー防御は個別企業の要望に応じて発動する制度ではない。被害発生後の事後要請では意味が薄く、電力や通信など指定された基幹インフラとは枠組みが異なる」

事態の経緯：お名前.com関連サービスへの不正アクセス

今回の問題の端緒となったのは、GMOインターネットグループが展開する「お名前.com デスクトップクラウド」などに対する不正アクセスの発生です。

同社は代替サービスの無償提供や抜本的なシステム刷新、外部専門家を交えた原因究明と再発防止策を発表。熊谷社長自身も情報発信を行い、社内技術者から過去に課題が指摘されていた点に触れつつ、深く頭を下げました。

その中で熊谷氏は、「自社の責任と費用負担は最後まで全うする」としたうえで、昨今のサイバー攻撃が国家関与の疑いがあるプロ集団やAI技術によって極めて高度化している現実に言及。電力やガスのような法定重要インフラ企業ではないものの、数多くの個人・法人の基盤を支えるサービスが攻撃された場合、国民生活への甚大な影響を鑑みて「能動的サイバー防御の適用可能性を検討してほしい」と政府へ具申したことを明かしました。

「能動的サイバー防御（ACD）」とはどんな制度か？

日本において「能動的サイバー防御（アクティブ・サイバー・ディフェンス）」を可能とする関連法は、2026年10月1日に施行されたばかりの極めて新しい枠組みです。

従来の日本の法制度下では、日本国内から海外の攻撃元サーバーに侵入したりプログラムを書き換えたりすることは「不正アクセス禁止法」や「通信の秘密（憲法第21条）」の壁に阻まれて困難でした。しかし、巧妙化する国家主導型サイバーテロに対抗するため、以下のような厳格なプロセスを設けて実施が認められるようになりました。

誰が、どのように実施するのか？

警察や自衛隊が連携し、攻撃兆候のあるサーバーにアクセスして無害化（プログラムの停止や削除）を行います。海外サーバーが対象となる場合は外務大臣との事前協議も必要です。

乱用を防ぐ歯止めは？

国民の通信の秘密やプライバシー侵害を防ぐため、独立した「サイバー通信情報監理委員会」による事前承認を原則とするなど、厳しい司法・行政上のハードルが設けられています。

政府側が示した「慎重な姿勢」の理由

熊谷氏の問題提起に対し、政府関係者からは「個別企業の要請に応じて発動を決める制度ではない」といった慎重・否定的な受け止めが相次ぎました。その背景には、主に3つの理由があります。

1. 制度の目的は「未然防止」である点

能動的サイバー防御は、国家レベルの通信監視や情報収集によって「攻撃の兆候」を事前に掴み、被害が発生する前に敵のインフラを叩く（無害化する）ことを主目的としています。すでに侵入され、被害が顕在化した後に民間からの要請で出動する「駆けつけ警護」のような運用はそもそも想定されていません。

2. 「重要インフラ」の定義と民間の自己防衛責任

法律が守る対象とする中核は、電力、水道、金融、鉄道、基幹通信など、機能停止が直ちに国家機能のマヒや生命の危機につながる分野です。ホスティングサービスやクラウドサービスが社会的に重要なのは事実ですが、「どこまでを国家が税金と実力組織（警察・自衛隊）で守るべきか」という線引きにおいて、現在の制度設計では対象外とみなされる公算が高いのが現状です。

3. 憲法上の制約と主権問題

国家が攻撃元サーバーへアクセスすることは、相手国との国際法上の摩擦や主権侵害のリスクを常に孕んでいます。一民間企業のシステム障害を理由に国家機関が海外サーバーへ能動的な侵入を行うことは、外交・安全保障上のハードルが極めて高いと言わざるを得ません。

💡 核心のジレンマ：民間企業の「セキュリティ投資・運用責任」と「国家安全保障」の境界線をどこに引くのか？

今回の議論が投げかけた「未来への宿題」

今回の熊谷社長の発言に対しては、SNSや専門家の間でも「自社の防衛不備を国の制度に頼ろうとしている」という厳しい批判がある一方で、「現代のクラウド事業者は実質的な重要インフラであり、法制度の隙間を浮き彫りにした」と受け止める声もあります。

現代のサイバー空間では、民間企業が直面する相手は単なる愉快犯ではなく、国家の支援を受けた高度なサイバー軍組織（APT）や、AIを駆使して24時間無差別攻撃を仕掛ける犯罪コングロマリットです。これらに対して「すべて民間の自己責任で防ぎ切れ」という前提自体が限界を迎えつつあることもまた、否定できない事実です。

熊谷氏の投げかけは、結果として「国家が守るべき重要インフラに巨大ITサービスやクラウド基盤を含めるべきなのか？」という、施行されたばかりの能動的サイバー防御法が直面した最初の現実的論点をあぶり出したと言えます。

まとめ：デジタル社会を守るルールの再定義が始まった

今回のニュースの要点を振り返ります。

  • GMO熊谷社長は、クラウドサービスの社会的重要性と攻撃の高度化を理由に、政府に「能動的サイバー防御」の適用検討を具申した。
  • 政府は、制度が「未然防止」を主眼としており、個別企業の要請で動くものではないことから慎重・否定的な姿勢を示した。
  • 背景には「民間クラウド事業者は重要インフラか？」「どこまでが国家防衛の範囲か？」という制度的・法的な課題がある。

10月に施行されたばかりの能動的サイバー防御法。今後、AIを活用した攻撃がさらに苛烈になる中で、民間インフラの防衛責任と国家の関与範囲について、法制度と運用の両面でさらなる議論が深まることは間違いありません。