政府は2026年10月26日、相次ぐサイバー攻撃を受けて初めての「サイバーセキュリティに関する関係閣僚会議」を開き、高市首相は来週中をめどに「緊急対策パッケージ」を取りまとめると表明しました。この記事では、報道された指示の中身を整理したうえで、パッケージの中身が決まる前に企業が準備できるのは「初動から復旧までを誰が担うか」を決めておくことであり、その答えの多くは開発・保守を任された会社の側にあるという論点を、システムを作る側の立場から論じます。
要点 (事実のみ)
- 政府は10月26日、首相官邸で第1回「サイバーセキュリティに関する関係閣僚会議」を開いた。高市首相、木原官房長官、古川サイバー安全保障担当相らが出席した。
- 高市首相は大規模な情報漏えいなどの被害が相次ぎ、漏えいした情報が悪用される不安も高まっていると指摘。「来週中をめどに政府としての緊急対策パッケージを取りまとめます」と述べ、各大臣に財政措置を含めた対策の早急な検討・調整を求めた。
- 被害企業の支援として、IPAや警察などの相談対応の充実、民間機関・地方自治体との連携強化を指示し、どこに相談しても必要な支援を受けられる体制の整備を求めた。国家サイバー統括室には、初動から復旧まで民間の高度な専門能力を活用する仕組みの構築を求めた。
- 経済産業相には、中小企業などが「サイバーセキュリティお助け隊」を十分に活用できるよう体制・支援策の拡充の検討と、模擬攻撃テストやサプライチェーン全体の攻撃観測網の整備の前倒しを求めた。各大臣には、重要インフラに限らず所管業界の被害企業から迅速に情報を集め、国家サイバー統括室へ集約するよう求めた。
- 政府機関のシステムについても、AIを活用した脆弱性チェックなど安全性を検証する取り組みを前倒しで進めるよう指示した。実態を解明した攻撃に対しては「アクセス無害化措置」を含む対処手段を選択・実行する考えも示した。
徐 聖博の見解
パッケージを待つ前に、決めておけることがある
緊急対策パッケージの具体的な中身は、これから取りまとめられる段階です。財政措置がどうなるか、企業に新しい義務が課されるかは、現時点では分かりません。だからこそ私は、パッケージの公表を待ってから動くのではなく、中身がどうなっても必要になることを先に片付けておくべきだと考えています。
今回の指示を並べると、方向ははっきりしています。相談窓口を増やす、初動から復旧まで民間の専門家を使えるようにする、被害企業から情報を集める。どれも「被害が起きた企業が、外部に助けを求めて、状況を説明する」場面を前提にしています。ここで支援を受けられる速さを決めるのは、窓口の数より、被害企業が自社のシステムについて何を説明できるかです。どのシステムが影響を受けたのか、誰が管理しているのか、ログはどこにあり何日分残っているのか、外部のどのサービスにどの権限を渡しているのか。これに答えられないと、専門家が来ても最初の数日は調査の前提を作る作業で終わります。
システムの中身を知っているのは、誰か
中小〜中堅企業の場合、この質問に一番答えられるのは社内の誰かではなく、そのシステムを作った、あるいは保守している開発会社であることが多いはずです。私は企業活動を一つのシステムとして捉えていますが、その目で見ると、多くの企業のインシデント対応計画には「委託先が初動で何をするか」が書かれていません。連絡先の一覧に名前があるだけで、夜間に誰が応答するのか、どのログを何時間以内に出すのか、本番環境への緊急アクセスを誰が許可するのかが決まっていない。これでは、政府側の支援体制が整っても、企業と開発会社の間で初動が詰まります。
なお、攻撃主体への対処のように安全保障に関わる部分は、私の立場から評価できる領域ではないので、ここでは扱いません。
開発会社にとっての意味——「初動の役割」を契約と納品物に入れる
この件を、開発を生業にする会社の事業判断として読むと、私は次の3点を今のうちに見直すべきだと考えています。
- 保守契約に初動の役割を書く。 障害対応と同じ扱いで済ませず、セキュリティインシデントの疑いがあるときの連絡経路、応答時間、ログの提出範囲、緊急時の本番アクセスの承認者を明記する。費用を保守料に含めるのか、別立てにするのかも最初に決めておく。曖昧なまま有事を迎えると、顧客との関係そのものが傷みます。
- 納品物に「説明できる資料」を含める。 システム構成、外部サービスと渡している権限の一覧、利用しているOSSとバージョン、ログの保存場所と期間。被害企業が専門家や相談窓口に状況を説明するときに、そのまま渡せる形にしておく。これは有事の資料であると同時に、平時の引き継ぎ資料にもなります。
- 点検をAIで回す側に回る。 政府自身が、模擬攻撃テストやAIによる脆弱性チェックを前倒しすると言っています。守る側の点検も、人が年に一度見るだけでは追いつかない前提に変わりつつあります。開発会社は、自分が作ったシステムを継続的に点検する仕組みまで提案に含められるかで評価が分かれると私は見ています。
サプライチェーン全体の攻撃観測網が整備されれば、委託先である開発会社も、顧客企業と同じように情報提供や対応を求められる場面が増えると私は予想しています（具体的な制度設計はまだ示されていないので、これは推測です）。そうなったとき、「うちは作っただけで、運用は顧客の責任です」という線引きは通りにくくなります。私は、開発の速度を上げてもテスト、セキュリティ、認証・認可、本番環境の安定稼働は崩さないと考えていますが、そこに「有事に何を出せるか」まで含めて設計しておくことが、これからの開発会社の受注力に直結すると考えています。
委託先の権限やOSSの更新が侵入口になった最近の事例は、次の記事で整理しています。
- ConnectWise侵害に学ぶサプライチェーン攻撃対策——委託先に渡したアプリ権限は「連携を止めても残る」
- LiteLLM改ざん版1.107.0の攻撃経路——失効されなかった「実験用AIエージェントの鍵」が本番リリースを乗っ取った
- AI脆弱性診断とは？GitHub連携で診断対象を洗い出す仕組みと料金・向き不向き
まとめ
政府の緊急対策パッケージは、被害企業への支援と情報集約を強める方向で取りまとめが進んでいます。ただ、支援を受けられる速さは、被害企業が自社のシステムを説明できるかで決まります。企業はパッケージを待たずに、初動から復旧までを誰が担い、何を出すのかを開発・保守の委託先と決めておくべきですし、開発会社はそれを契約と納品物に入れることで、顧客の備えの一部になれると私は考えています。具体的な支援策や企業への要請は今後公表される予定なので、詳細は政府の発表を確認してください。
出典: 相次ぐサイバー攻撃 政府が来週中に緊急対策パッケージとりまとめ（ANN／KAB熊本朝日放送, 2026-10-26）、高市首相、サイバー閣僚会議で被害企業の支援拡充を指示 緊急パッケージは来週中（ビジネス+IT, 2026-10-27）
