--- title: "サイバーセキュリティ緊急対策パッケージとは？4本柱の施策と期限、企業と委託先が今やること" url: "https://www.issoh.co.jp/column/details/19456/" published: 2026-11-07 updated: 2026-11-07 categories: ["セキュリティ"] publisher: "株式会社一創" --- # サイバーセキュリティ緊急対策パッケージとは？4本柱の施策と期限、企業と委託先が今やること サイバーセキュリティ緊急対策パッケージは、2026年11月6日に「サイバーセキュリティに関する関係閣僚会議」が決定した政府の対策集です。情報漏えい事案が続いたことを受け、早期に実施または着手できる施策を4本の柱にまとめ、同日の閣議で約100億円の予備費も措置されました。この記事では、決定本文と別紙の施策一覧をもとに、4本柱の中身と期限、民間企業に回ってくる影響を整理し、システムの開発・保守を委託している企業が契約と運用で見直すべき点まで、2026年11月7日時点の公表資料に沿ってまとめます。 ## まとめ：緊急対策パッケージは法的義務ではなく委託先を含む基本対策の徹底を求める パッケージは関係閣僚会議の決定で、法律ではありません。民間企業に新しい義務や罰則を直接課すものではなく、政府の体制づくり、注意喚起、相談窓口、支援メニューが中心です。 一方で、決定本文は漏えい事案の共通原因を「既知の脆弱性の放置」「ウェブサイト等の設定不備」「アプリケーション開発時のセキュリティ対策の不足」とし、自組織だけでなく委託先の対策不足を名指ししています。個人情報保護委員会のガイドライン改正（2027年1月中の施行目標）と、SCS評価制度（2027年3月頃の運用開始）を通じて、取引や監督の場面で同じ水準を求められる流れになります。 外部に公開したWebサイトやアプリで個人情報を扱い、開発や保守を外部に任せている企業は、今のうちに3点を確かめてください。公開しているシステムの一覧と構成部品の把握、脆弱性対応を誰が担うかの契約上の定め、脆弱性診断の実施時期です。 ## 関係閣僚会議が2026年11月6日に決めた緊急対策パッケージの位置づけと経緯 パッケージは約2週間で取りまとめられました。何を根拠に、どの範囲を対象にした文書なのかを先に押さえておきます。 ### 10月26日の第1回会議から11月6日の決定と約100億円の予備費までの流れ [内閣官房の関係閣僚会議ページ](https://www.cas.go.jp/jp/seisaku/cybersecurity%5Fkakuryokaigi/index.html)によると、第1回会議は2026年10月26日、第2回は11月6日に開かれ、第2回でパッケージが会議決定されました。[首相官邸の会議報告](https://www.kantei.go.jp/jp/105/actions/202611/06kaigi%5Fcyber.html)では、総理が同日朝の閣議で直ちに必要な約100億円の予備費を措置したと述べ、パッケージ全体に必要な財政措置はさらに検討・調整するよう財務大臣らに指示しています。 [決定本文（別紙の施策一覧つき）](https://www.cas.go.jp/jp/seisaku/cybersecurity%5Fkakuryokaigi/pdf/countermeasure.pdf)はパッケージを「第一歩」と位置づけています。早期に実施・着手できる施策を中心に集めたもので、制度面の整備、政府の基準の見直し、ベンダとその契約事業者のシステム関連契約の在り方の周知、量子技術を含む将来の脅威への備えは中長期の課題として別に検討するとしました。 ### サイバー対処能力強化法の改正検討と基幹インフラ報告の「同日中」目標 総理は会議で、担当大臣に、2026年10月に施行されたばかりの[サイバー対処能力強化法](https://www.issoh.co.jp/column/details/17972/)の改正検討を指示しました。目的は日本を標的にした攻撃を把握する情報収集能力の強化で、基幹インフラ事業者からの報告が「できれば数時間、少なくとも同日中」に国家サイバー統括室へ届く状態を目指すよう求めています。 現行の報告命令は「速やかに」の第一報と30日以内の報告書という2段階で、時間数を定めていません。数時間・同日中はあくまで総理の指示による目標で、2026年11月7日時点では法令の改正案は出ていません。民間企業への不審な通信を国家サイバー統括室が把握・分析する仕組みも、主要国の例を参考に検討する段階です。基本法と強化法の関係は[サイバーセキュリティ基本法の目的と能動的サイバー防御](https://www.issoh.co.jp/column/details/13451/)にまとめています。 ## 緊急対策パッケージの4本柱で政府が実施する主な施策と担当省庁 4本柱は「予防」「情報の集約・分析」「対処」「被害者支援」の順に並び、得られた情報を対策へ戻す循環として描かれています。[概要資料](https://www.cas.go.jp/jp/seisaku/cybersecurity%5Fkakuryokaigi/pdf/countermeasure%5Fsummary.pdf)の図も、情報を次の対策へ戻す循環を示したものです。柱ごとに、民間企業が知っておくべき施策に絞って紹介します。 ### 第1の柱はAIによる脆弱性発見を含む基本的な対策の徹底と個人データの削減 第1の柱は、発注者・委託先・経営層のそれぞれに基本的な対策を「当たり前」に講じさせ、侵入されても被害を小さくするために保有する情報を絞るという考え方です。主な施策は次のとおりです。 - 国家サイバー統括室が、Webサイトとモバイルアプリの運用・管理段階、設計・開発段階、サプライチェーン経由の侵害への対策について注意喚起を出す - IPAに高性能AIの利用環境を整え、ペネトレーションテストを行うトップガン人材チームを11月中に立ち上げ、民間のセキュリティ企業の人材育成や検証環境の提供も行う - 総務省が地方公共団体に、委託先が提供するものを含む全Webシステムの把握、多要素認証などの徹底、AIを使った脆弱性診断と対策完了までのサービス一時停止の検討を要請し、自治体サイバーセキュリティサポートチームで全団体を支援する - ガバメントクラウドを使うシステムの所有者に、2027年度中までに高性能AIでソースコードの脆弱性検査を行うよう求める 民間企業に最も近いのは1つ目の注意喚起と、後述する個人情報保護委員会の施策です。自治体とガバメントクラウドへの要請は、そのシステムを受託している開発会社に作業として回ってきます。 ### 第2の柱は被害情報の集約とA2B攻撃を特定したNICTの分析力の強化 第2の柱は、政府に情報が集まる経路を広げる施策です。セキュリティベンダやISMAP登録のクラウド事業者に、2026年10月に発足したサイバー協議会への参加を働きかけます。重大な被害事案については、所管省庁が被害事業者から情報を集めて国家サイバー統括室に報告します。 分析面では、国内の漏えい事案の原因の一つとされた「A2B攻撃」を特定した情報通信研究機構（NICT）の分析能力を2026年度内に強化します。別紙はA2B攻撃を、公開されているアプリを解析し、その情報を悪用して接続先のバックエンドサーバーを攻撃する手法と説明しています。IPAがサプライチェーン企業の参加する攻撃観測網で24時間365日監視する実証事業は、2027年始めを目途に開始する予定です。 ### 第3の柱はアウトリーチ・チームや官民サイバー救援隊による段階別の対処 第3の柱は、被害が表に出る前から対処する仕組みです。国家サイバー統括室が事案の段階に応じて支援の形を変え、政府と民間の能力を切れ目なく組み合わせるとしています。 | 事案の段階 | 新設・拡充する仕組み | 開始時期（決定本文） | | -------------- | ------------------------ | ---------------- | | 潜在的な被害のおそれ | アウトリーチ・チーム（仮称）が能動的に接触 | 11月中に新設 | | 政府支援の必要性が特に高い | 官民サイバー救援隊（仮称）を派遣 | 2026年度中の早期に事務局設置 | | 国の安全保障に関わる重大事案 | ジョイント・レスポンス・チーム（仮称）を派遣 | 2026年度中の早期に運用開始 | | ログ保全と原因究明の初動 | 警察のファスト・フォレンジック・フォース（仮称） | 速やかに立ち上げ | | 中小企業等の被害 | お助け隊サービスに復旧・バックアップ等を追加 | 速やかに拡充 | 救援隊の派遣は、被害組織から要請があり、かつ必要性・緊急性が特に認められる場合に限られます。事業者に攻撃の痕跡探索を働きかける脅威ハンティングは、年内を目途にサイバー協議会を通じてマニュアルと検知ツールが提供されます。 ### 第4の柱は警察のサイバー被害110番とIPA・よろず支援拠点の相談窓口 第4の柱は、被害に遭った組織と個人を孤立させないための窓口整備です。事業者向けには、全都道府県警察本部に「法人専用相談・通報窓口 サイバー被害110番（仮称）」を2026年中に開設し、専用ダイヤルは2026年度中に整備します。IPAには10月16日に特別相談窓口が置かれ、各都道府県のよろず支援拠点と中小企業基盤整備機構のIT経営サポートセンターには10月27日に無料の相談窓口が設けられました。 個人向けは消費生活センター（188）が総合的な入口です。国家サイバー統括室は10月30日に「サイバー対応特設サイト」を開設し、相談窓口と注意喚起を一か所にまとめています。漏えいした個人情報を使った詐欺電話やなりすまし口座への対策として、事業者に犯罪収益移転防止法に基づく本人確認の徹底も要請されます。 ## 緊急対策パッケージの施策を期限順に並べた2026年11月〜2027年度の日程 決定本文と別紙には、期限が書かれた施策と、時期が書かれていない施策が混ざっています。期限つきのものだけを抜き出すと、自社の予定と突き合わせやすくなります。 ### 2026年末までに動くトップガン人材チームと脅威ハンティングのマニュアル | 時期 | 施策 | 担当 | | ---------------- | ------------------------- | --------------- | | 10月7日（実施済み） | 個人データの必要性確認・不要分消去の注意喚起 | 個人情報保護委員会 | | 10月16日・27日（実施済み） | IPA特別相談窓口、よろず支援拠点等の無料相談窓口 | 経済産業省 | | 10月30日（実施済み） | サイバー対応特設サイトの開設 | 国家サイバー統括室 | | 11月中 | トップガン人材チーム、アウトリーチ・チーム（仮称） | 経済産業省・国家サイバー統括室 | | 年内目途 | 脅威探索の手引き・ツール提供、踏み台機器対策整理 | 国家サイバー統括室ほか | | 2026年中 | サイバー被害110番（仮称）の窓口開設 | 警察庁 | 表の「脅威探索」は脅威ハンティングのことで、サイバー協議会を通じてマニュアルと検知ツールが配られます。踏み台機器対策は、攻撃の踏み台に使われる国内機器への対策を年内に取りまとめる施策を指します。年内の施策は政府側の立ち上げが中心で、民間企業が自分から動けるのは、相談窓口の確認と、脅威ハンティングのマニュアルが出た後に自社で試せるかの判断くらいです。 ### 2027年1月の安全管理措置ガイドライン改正と3月のSCS評価制度開始 | 時期 | 施策 | 担当 | | ------------ | ------------------------- | --------------- | | 2026年度中 | 本人確認画像の保存期間・方法を業種別に注意喚起 | 個人情報保護委員会 | | 2026年度中 | NICT分析力強化、耐量子計算機暗号移行工程表策定 | 総務省・内閣官房ほか | | 2027年1月中（目標） | 安全管理措置の全項目「手法の例示」改正施行 | 個人情報保護委員会 | | 2027年始め目途 | 24時間365日の攻撃観測網の実証事業 | IPA・NICT | | 2027年3月頃 | SCS評価制度開始・★取得企業への情報要求の仕組み | 国家サイバー統括室・経済産業省 | | 2027年度中まで | ガバメントクラウド利用システムのAIコード検査 | デジタル庁 | ガバメントクラウドの行は、そこで動くシステムの所有者に、高性能AIを使ったソースコードの脆弱性検査を求めるものです。期限は2027年度中までと長めに取られています。民間企業の実務に直接響くのは、2027年1月のガイドライン改正と3月のSCS評価制度です。前者は個人情報を扱う全事業者が、後者は大企業と取引する委託先が対象になります。 ## 個人情報を扱う企業・基幹インフラ・中小の取引先に回ってくる影響 パッケージの影響は、企業の立場によって大きく変わります。自社がどれに当たるかで、読むべき施策を絞ってください。 ### 個人情報取扱事業者に効く10月7日の注意喚起と2027年1月のガイドライン改正 個人情報保護法は、利用する必要がなくなった個人データを遅滞なく消去するよう事業者に努力義務を課しています。個人情報保護委員会は10月7日にこの点を改めて注意喚起し、運転免許証の画像など本人確認のために取得した画像の保存期間・保存方法について、2026年度中に業種ごとの基本ルールを示すとしました。 ガイドラインの改正は、安全管理措置の全項目で「手法の例示」を見直すもので、2027年1月中の施行を目指します。例示は監督の場面で基準として読まれるため、改正後は自社の対策との差分を確認する必要があります。保存期間と削除をシステムの設計にどう落とすかは[顧客情報管理システムの安全管理措置・保存期間・削除の設計](https://www.issoh.co.jp/column/details/18264/)で扱いました。漏えいが起きたときの報告期限は[個人情報保護委員会への報告義務と速報・確報の期限](https://www.issoh.co.jp/column/details/17840/)で確認できます。 ### 基幹インフラと重要インフラ事業者に求められる報告短縮とCI-CSAの自己評価 基幹インフラ事業者は、強化法の改正検討によって報告の時間が短くなる可能性があります。今の時点で法令は変わっていませんが、数時間で第一報を出せる連絡体制を前倒しで整えておけば、改正時に慌てずに済みます。 重要インフラ事業者には、国家サイバー統括室が重要インフラ統一基準に基づく自己評価「CI-CSA」を全ての重要インフラ事業者等を対象に実施します。各種の注意喚起とCI-CSAの対策事項の対応表も周知されるため、注意喚起を受けた後に自社の実施状況を項目ごとに確かめる運用になります。 ### 大企業と取引する中小企業に届くSCS評価制度とお助け隊サービスの拡充 パッケージはSCS評価制度を2027年3月から開始し、大企業の委託先管理の手法として推奨すると明記しました。★を取得した企業が攻撃を受けた場合、国家サイバー統括室が関係情報を求められる仕組みも入ります。取引先から★の取得を求められる中小企業は、評価基準を早めに確認しておくべきです。★3と★4の違いと費用は[SCS評価制度の★3・★4の比較と開始時期](https://www.issoh.co.jp/column/details/17952/)で解説しています。 中小企業向けの「サイバーセキュリティお助け隊サービス」には、被害発生時の診断、定期バックアップと復旧支援、定期脆弱性診断の3つが追加されます。異常監視・初動対応支援・保険が中心だったサービスが、復旧と再発防止まで扱えるようになる点が変更点です。 ## システムの開発・保守を委託している企業が契約と運用で見直す3つの点 決定本文が「委託先」に何度も触れている点は見落とせません。発注側と受託側の役割分担が曖昧なまま運用されていることが、対応の遅れを生んでいると政府は見ています。 ### 脆弱性対応の実施主体が書かれていない開発契約・保守契約の見直し 別紙の「その他」には、PHPの重大な脆弱性を例に、システム開発契約や運用保守契約で脆弱性対応の実施主体が明確に定められていない場合が多く、緊急対策が必要になったときに支障が生じているという指摘があります。国家サイバー統括室は、契約で留意すべき事項を広める方策を検討するとしています。 政府の指針を待つ必要はありません。保守契約に、OS・ミドルウェア・ライブラリの脆弱性情報を誰が監視するか、緊急パッチを誰の判断で、どの費用負担で当てるか、対応期限は何日かを書いておけば足ります。準委任と請負で責任の範囲がどう変わるかは[システム保守契約書の条項と準委任・請負の違い](https://www.issoh.co.jp/column/details/19407/)で整理しました。 ### 委託先が提供するWebシステムまで含めた資産と構成部品の把握 総務省が地方公共団体に求めた最初の事項は、担当課が独自に導入したものや委託先が提供するものを含めた、全Webシステムとそのセキュリティ対策の把握でした。政府の情報システムについても、SBOM（ソフトウェア部品表）を含むIT資産管理の徹底が書かれています。 民間企業でも順序は同じです。公開中のWebサイト、キャンペーン用の特設ページ、会員向けアプリ、外部に開けている管理画面を一覧にし、それぞれの運用者と使っている部品の版を記録します。部品表の作り方と運用は[SBOMの目的・フォーマットと作成・運用の判断](https://www.issoh.co.jp/tech/details/13457/)が参考になります。一覧が無い状態では、注意喚起が出ても自社が該当するかを判断できません。 ### AIを使った脆弱性診断とペネトレーションテストを発注する時期の判断 パッケージは、自治体、政府システム、大学の重要なシステムに、AIを使った脆弱性診断やペネトレーションテストを求めています。AIで脆弱性の発見から攻撃までの時間が短くなったという認識が、全体の前提にあるからです。 民間企業が発注を前倒しすべきなのは、個人情報を保有する外部公開のシステムで、最後の診断から1年以上たっているか、その後に大きな改修を入れた場合です。A2B攻撃のように公開アプリからバックエンドのAPIを狙う手口では、画面だけでなくAPIまで診断範囲に入れてください。診断とペネトレーションテストの使い分けは[ペネトレーションテストと脆弱性診断の違い](https://www.issoh.co.jp/column/details/13440/)にあります。外部の目で診断を済ませたい場合は、一創の[脆弱性診断・セキュリティ診断](https://www.issoh.co.jp/service/system/vulnerability/)でもWebアプリとAPIの診断をお受けしています。 ## 緊急対策パッケージを受けて今すぐ動く企業と製品の買い替えを急がない企業 パッケージに法的な期限は付いていません。それでも、条件によっては今月中に手を付けるべき企業があります。 ### 今すぐ着手する条件は個人情報を持つ公開システムを委託先任せにしている状態 次の3つが重なる企業は、すぐに動いてください。外部に公開したWebサイトやアプリで個人情報を扱っている。開発や保守を外部に任せている。脆弱性対応の担当と期限が契約に書かれていない。決定本文が漏えいの原因として挙げた3つの不備が、そのまま残っている状態だからです。 最初の1か月でやることは、公開システムの一覧づくり、保守契約の確認、不要な個人データの削除方針の決定です。費用がかかる診断は、この3つが終わってから範囲を決めて発注しても遅くありません。 ### パッケージ対応をうたう製品提案だけを理由に買い替えるべきでない場面 「緊急対策パッケージ対応」をうたうセキュリティ製品の提案を受けても、それだけを理由に機器やサービスを買い替えないでください。パッケージは特定の製品や性能要件を定めておらず、求めているのは既知の脆弱性への対応、設定の見直し、保有情報の絞り込みといった運用の徹底です。 官民サイバー救援隊やジョイント・レスポンス・チームも、2026年11月7日時点では仮称で、派遣は始まっていません。被害時に政府が来てくれる前提で備えを緩めるのは誤りです。被害時の相談先は、警察と、IPA・よろず支援拠点の窓口を控えておけば当面は足ります。委託先を経由した被害の類型は[サプライチェーン攻撃の起点別3類型と対策の優先順位](https://www.issoh.co.jp/column/details/13184/)で確認できます。 ## サイバーセキュリティ緊急対策パッケージについて寄せられやすいよくある質問 決定直後に企業の情報システム担当者から出やすい質問を5つ選び、2026年11月7日時点の決定本文と官邸の公表内容に沿って答えます。 ### サイバーセキュリティ緊急対策パッケージはいつ決まりましたか？ 2026年11月6日に開かれた第2回「サイバーセキュリティに関する関係閣僚会議」で決定されました。第1回会議は10月26日で、総理が対策の取りまとめを指示してから約2週間での決定です。同じ11月6日の朝の閣議では、直ちに必要な施策のために約100億円の予備費が措置されました。決定本文と概要資料は内閣官房の関係閣僚会議のページに掲載されています。 ### 緊急対策パッケージの4つの柱は何ですか？ ①AIも使った基本的な対策の徹底、②情報収集・集約と捜査・分析体制の強化、③サイバー攻撃への対処の戦略的な実施、④被害者支援・被害拡大防止策の強化、の4つです。①が予防、②が情報の集約と分析、③が被害前後の対処、④が被害を受けた組織・個人の支援を受け持ち、得られた情報を次の対策に戻す循環として設計されています。各柱には担当省庁が明記されています。 ### 緊急対策パッケージで企業に新しい義務はできますか？ パッケージ自体は閣僚会議の決定で、企業に新たな法的義務や罰則を課すものではありません。ただし、個人情報保護委員会の安全管理措置ガイドライン改正（2027年1月中の施行目標）や、総理が指示したサイバー対処能力強化法の改正検討のように、今後の制度改正につながる施策が含まれています。改正の中身が公表された段階で、自社に義務が生じるかを改めて確認してください。 ### トップガン人材チームとは何ですか？ IPAに高性能AIの利用環境を整え、模擬的な攻撃テストであるペネトレーションテストを行う高度な人材などで構成するチームです。2026年11月中の立ち上げが決まっており、担当は経済産業省です。自らテストを行うほか、民間企業を支援するセキュリティ企業に対し、テスト人材の育成やAIを使った検証環境、ツールの提供も行います。人材の信頼性確保にも配慮するとされています。 ### サイバー攻撃の被害に遭ったらどこに相談すればよいですか？ 企業はまず警察に相談・通報します。全都道府県警察本部に法人専用の「サイバー被害110番（仮称）」が2026年中に開設される予定です。技術的な相談はIPAの特別相談窓口（10月16日設置）、中小企業はよろず支援拠点やIT経営サポートセンターの無料窓口（10月27日設置）も使えます。個人情報の漏えいが起きた場合は、個人情報保護委員会への報告期限も並行して確認してください。 ## 関連記事 - [サイバー対処能力強化法とは？2026年10月施行の届出・報告義務と委託先への影響](https://www.issoh.co.jp/column/details/17972/)：総理が改正検討を指示した法律の現行の届出・報告義務です - [個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務](https://www.issoh.co.jp/column/details/17840/)：漏えいが起きたときの報告期限と対象です - [SCS評価制度（セキュリティ対策評価制度）とは：★3・★4の比較と費用、2027年3月の開始時期](https://www.issoh.co.jp/column/details/17952/)：パッケージが委託先管理の手法として推奨した制度です - [保守契約とは：システム保守契約書の条項と準委任・請負の違い、印紙の判定](https://www.issoh.co.jp/column/details/19407/)：脆弱性対応の実施主体を書き込む契約の基礎です - [ペネトレーションテストと脆弱性診断の違い｜目的・費用・使い分けを発注前に整理](https://www.issoh.co.jp/column/details/13440/)：AIを使った診断を発注する前に読む整理です --- 出典: [サイバーセキュリティ緊急対策パッケージとは？4本柱の施策と期限、企業と委託先が今やること]()（株式会社一創）