ITベンダーの責務を明確化
能動的サイバー防御の実装にあたっては、サイバー攻撃を受けた場合に、「どこまでがITベンダーの責任で、どこからが重要インフラ事業者の責任なのか」が曖昧になるという問題点も残る。そこで、ITベンダーと重要インフラ事業者の責任分界点を明確化するため、政府は「サイバーインフラ事業者に求められる役割等に関するガイドライン」を策定する計画だ。
同ガイドラインでは、ITベンダーに対し、「セキュリティ品質を確保したソフトウェアの設計・開発・供給・運用」「ソフトウェアサプライチェーンの管理」「残存脆弱性への迅速な対処」「ソフトウェアに関するガバナンスの整備」「ステークホルダーとの情報連携・協力体制の強化」という5つの責務を要求する。
重要インフラ事業者をはじめとするユーザー企業には、「経営層のリーダーシップによるリスク管理」と「ソフトウェアの適切な調達・運用」が求められる。こうした責務の明確化により、責任所在を巡る混乱や対応の遅れを防ぐ狙いがあると見られる。なお、罰金などの直接的な罰則は設けない方針だ。
KDDIとNECが合弁会社を設立
こうした制度整備と並行して、民間側でも能動的サイバー防御を支える動きが進みつつある。2025年11月には、KDDIとNECの合弁会社「United Cyber Force」が立ち上がり、政府機関やインフラ事業者向けの能動的サイバー防御に資するソリューションを開発・提供する予定だ。
横平氏はこうした取り組みの意義について、「海外製のセキュリティ製品に依存しすぎると、対外関係が悪化した際に、国内への供給が突然途絶える可能性も否定できない。安全保障の観点から見ると、能動的サイバー防御ソリューションの国産化は今後の重要課題になる」と語る。
経済産業省は昨年3月に「サイバーセキュリティ産業振興戦略」を策定し、懸賞金型コンテストの実施や、セキュリティベンダーとSIerのマッチングの場の創出などを通じて、サイバーセキュリティ産業における国内企業の売上高を9000億円から3兆円へ拡大する目標を掲げている。こうした政府によるセキュリティベンダーを後押しする仕組みづくりも、今後ますます重要になるだろう。
一般企業もプロアクティブな防御を
能動的サイバー防御は、政府機関や基幹インフラ事業者に限らず、一般企業・自治体にとっても無関係ではいられない。ただし、一般企業が取り組むべき能動的サイバー防御の考え方は、政府が定義するものとは異なると福田氏は解説する。
同氏によれば、「国が推進する能動的サイバー防御には、ハックバック（仕返し行為）まで含まれているが、一般企業がそこまで踏み込むことはできない。企業に求められるのは、攻撃が顕在化する前に兆候を捉え、先回りして防御策を講じる」ことにある（図表5）。
図表5 企業に求められるセキュリティ成熟度
このようなプロアクティブ（予防）型のアプローチを採用したセキュリティソリューションも国内に登場している。例えばトレンドマイクロは、統合サイバーセキュリティプラットフォーム「Trend Vision One」を提供する。「プロアクティブとリアクティブ（対応・復旧）の両面を単一プラットフォームでカバーできる点が特徴」（福田氏）だ。
具体的には、AIを活用してアタックサーフェス（攻撃対象領域）を継続的に可視化・監視するとともに、資産ごとの脆弱性リスク評価や攻撃経路の予測を行う。これにより、攻撃が顕在化する前に自組織の弱点を把握できる。さらに、万が一インシデントが発生した場合でも、脅威の検知から原因分析、封じ込み、復旧までを一貫して支援する。
NECは2025年11月、セキュリティソリューション「CyIOC Cyber Security Protection Package」を提供開始。NEC独自の脅威インテリジェンスを活用し、潜在的な脅威の予兆を識別・把握できるという。
また、インシデントの原因分析や一次対処といった一連のプロセスを自動化するAIが組み込まれており、検知から復旧までに要する時間の大幅な短縮が期待できる。2026年度以降には、日本・APAC（アジア太平洋）・米国・欧州の4拠点にサポート体制を構築する予定で、海外へ事業展開する日本企業のセキュリティ運用も支援していく考えだ。
シスコシステムズ・野村総合研究所（NRI）・NRIセキュアも、プロアクティブなセキュリティソリューションの開発に向けて協業をスタート。シスコが持つグローバルの脅威インテリジェンスと、NRI・NRIセキュアが培ってきたシステム開発力やセキュリティに関するノウハウを組み合わせ、新たなソリューションの開発に取り組む。
このように、一般企業・自治体の能動的サイバー防御を支えるソリューションは、国内でも今後さらに拡充していくと予想される。ただ、「ランサムウェアの被害事例を掘り下げていくと、VPN製品の脆弱性を放置していたり、ID管理が疎かだったり、能動的サイバー防御の“前段階”が抜け落ちていた企業が多い。IT資産の管理や、脆弱性が明らかになった際にすぐに対処できるような体制づくりなど、基本的なセキュリティ対策も整備すべきだ」と横平氏は説く。
能動的サイバー防御は、国や基幹インフラ事業者だけの課題ではなく、一般企業・自治体にとっても決して他人事ではない。不測の事態に備え、平時からプロアクティブな対策を講じておく必要があると言えるだろう。
