国が企業へサイバーセキュリティ対策を緊急要請｜何が発表されたのか
2026年10月9日、内閣官房国家サイバー統括室（NCO）は、国内で不正アクセスによる情報漏えいが相次いでいることを受け、企業・組織に対して「不正アクセスによる漏えい等の事案を踏まえた対応について」を公表しました。
これを受けて総務省、経済産業省、金融庁、IPAなども相次いで注意喚起を行っています。
特に対象として想定されているのが、
- 大量の個人情報を保有する事業者
- 機微な情報を取り扱う事業者
- オンラインサービスを提供する企業
- 会員ID・アカウントサービスを運営する企業
- クラウドや外部サービスを利用する企業
などです。
総務省は、「経営層のリーダーシップの下、サイバーセキュリティ対策の一層の強化に取り組むように」と明確に求めています。
つまり、今回の注意喚起は「情報システム部門だけでパッチを当ててください」という話ではありません。
システム導入、クラウド利用、外部委託、データ保有、経営体制まで含めて、企業全体でセキュリティを見直してくださいという内容になっています。
総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について（注意喚起）」
国が示したサイバーセキュリティ対策は大きく3つ
今回、国家サイバー統括室が企業へ求めた対策は、大きく3つに整理できます。
- ウェブシステム等の適切な管理
- サプライチェーンを通じた侵害への対策
- データの適切な管理
DX担当者の立場から見ると、この3つはそのまま「システム導入前・運用中に確認すべき3大領域」と考えることができます。
1．システム導入時は「いつ攻撃されてもおかしくない」前提で設計する
今回、国が強調しているのが外部公開システムの管理です。
Webサイト、会員サイト、予約システム、EC、スマートフォンアプリ、APIなど、インターネットへ公開されたシステムは常に攻撃対象になる可能性があります。
そのため国は、
- OS・CMS・ソフトウェアを速やかにアップデートする
- 脆弱性対応パッチを速やかに適用する
- サポート終了製品・バージョンを使用しない
- 利用していないシステム・機能を停止する
- 不要なポート・プロトコル・サービスを無効化する
- 定期的に脆弱性診断を行う
ことなどを求めています。
重要なのは、「システムを導入した時点で安全だったか」ではなく、「現在も安全な状態が維持されているか」を継続的に確認することです。
DXプロジェクトでは新機能・新サービスを追加することに注目が集まりやすい一方、旧システムや使われなくなったAPIが残り続けるケースもあります。
新しく作るシステムだけでなく、過去に作ったシステムをいつ廃止するのかまで含めて管理する必要があります。
2．システム利用時はMFA・アカウント・権限を見直す
今回の国の注意喚起では、認証対策も重要項目として挙げられています。
具体的には、
- 多要素認証（MFA）を導入する
- 推測されやすいパスワードを禁止する
- 管理者権限を必要最小限にする
- 退職者・異動者のアカウントを速やかに停止する
- 使用されていないアカウントを削除・無効化する
といった対応です。
これはSaaSやクラウドサービスを導入する際にも重要です。
例えばMicrosoft 365、Google Workspace、Salesforce、生成AI、各種SaaSなどを導入した後、利用者が増えるにつれて、
- 誰が管理者なのか分からない
- 退職者のアカウントが残っている
- 外部委託先へ強い権限を与えたままになっている
- APIキーが長期間更新されていない
といった状態になることがあります。
「導入時にアカウントを作る」だけではなく、「誰に、いつまで、どの権限を与えるか」を管理することが重要です。
3．国がDX担当者へ求める「ログ取得・監視・インシデント対応」
国は、侵入を完全に防止することは困難であることも前提にしています。
そのため、
- ログを適切に取得・保管する
- 不審な通信を監視する
- 大量アクセスを検知する
- 外部からの異常な認証試行を把握する
- 侵入検知・防御システムを活用する
- インシデント発生時の対応体制を整える
- BCPへサイバーセキュリティを組み込む
といったレジリエンス（復旧力・耐性）の強化を求めています。
ここは企業のDX担当者にとって非常に重要です。
システム開発時に、
「正常に動くか」
だけをテストするのではなく、
「侵入されたら検知できるか」「異常が起きたら誰が止めるのか」「止めた後どう事業を継続するのか」
まで設計する必要があります。
4．国が特に警戒する「委託先・ベンダー経由」のサプライチェーン攻撃
今回の注意喚起でもう一つ大きなテーマになっているのが、サプライチェーンを通じた侵害です。
自社のセキュリティ対策が強固でも、委託先や取引先の環境が侵害されれば、自社の情報が漏えいする可能性があります。
国は、
- 委託先のセキュリティ対策状況を確認する
- 契約時にセキュリティ要件を明確にする
- インシデント発生時の報告義務を契約へ盛り込む
- 委託先へ渡す情報を必要最小限にする
- 業務終了後は委託先にデータを確実に削除させる
- 契約時だけでなく継続的に安全性を確認する
といった対応を求めています。
これは、最近のDX案件では特に重要です。
ERP、SaaS、クラウド、BPO、生成AI、外部開発などを活用するほど、企業のデータは自社の中だけでは完結しなくなります。
「委託したからセキュリティ責任も委託先へ移る」という考え方では不十分です。
DX担当者は、システム選定時に機能・価格だけを見るのではなく、「この会社へどのデータを渡すのか」「事故が起きたらいつ報告されるのか」まで確認する必要があります。
5．国が求める「データを必要以上に持たない」という考え方
今回、国がかなり強く打ち出しているのがデータ管理です。
サイバー攻撃を100％防ぐことは困難です。
ならば、
「侵入されたとしても盗まれる情報を少なくする」
ことも重要になります。
IPAは企業に対して、
- 保有している情報資産を把握する
- 不要なデータを削除する
- 本当に保持する必要があるか再検討する
- 保管場所を見直す
- アクセスログを取得する
- 保存データを暗号化する
などを求めています。
例えば、
- 退会した顧客の情報
- 終了したキャンペーン応募情報
- 本人確認書類の画像
- 古い顧客名簿
- 不要になったログ
などを「念のため」と保存し続けていないか確認する必要があります。
情報漏えい時の被害額は、「侵入されたか」だけでなく、「その場所に何を置いていたか」によって大きく変わります。
6．DX担当者はクラウド・SaaS・VPN・生成AIをすべて棚卸しする
IPAは今回、企業が利用している外部サービスをすべて洗い出すことも求めています。
対象には、
- クラウドサービス
- VPN
- SaaS
- 部署単位で契約しているサービス
- 外部公開アプリケーション
などが含まれます。
これは生成AIについても同じ考え方が必要です。
今回の注意喚起自体はAI固有のガイドラインではありませんが、企業内でChatGPT、Gemini、Claude、Copilotなどを利用している場合も、
- 誰が利用しているか
- どのアカウントを使っているか
- どの社内データへアクセスできるか
- どの外部サービスとAPI連携しているか
- ログをどの程度確認できるか
を把握しておくべきでしょう。
DXが進むほど、いわゆる「シャドーIT」を含めた外部サービスの把握が難しくなります。
システム部門が把握していないサービスが存在すること自体が、一つのセキュリティリスクになります。
システム導入前にDX担当者が確認すべき国のセキュリティチェックリスト
| タイミング | 確認項目 |
|---|---|
| 製品・ベンダー選定 | セキュリティ体制、脆弱性対応、委託先管理、事故時の報告体制を確認 |
| 要件定義 | 保存する個人情報を最小化し、権限・ログ・暗号化・MFAを要件へ入れる |
| 設計・開発 | API、管理画面、外部接続、権限、不要機能・ポートを確認 |
| 本番稼働前 | 脆弱性診断、パッチ適用、ログ確認、管理者権限、異常検知をテスト |
| 運用中 | アカウント棚卸し、パッチ更新、ログ監視、外部サービス棚卸しを継続 |
| 契約終了時 | アカウント削除、API停止、委託先データ削除、アクセス権剥奪を確認 |
| 事故発生時 | システム隔離、ログ保全、影響範囲調査、専門家・所管機関への連絡を実施 |
国が経営者へ警告「サイバー攻撃は情シスだけの問題ではない」
今回の注意喚起で特に重要なのが、経営層に対するメッセージです。
国はサイバーセキュリティについて、
「もはや情報システム部門だけの問題ではない」
との考えを示しています。
個人情報が漏えいすれば、
- 顧客対応
- サービス停止
- 売上減少
- ブランド毀損
- 法務対応
- 行政への報告
- 再発防止投資
など、経営全体へ影響します。
だからこそ経営層自身が、
- 必要な予算を確保する
- 人員を配置する
- 委託先を含めた責任体制を作る
- 緊急時の意思決定ルートを作る
必要があります。
DXのスピードとセキュリティは相反するものではなく、両方を経営課題として設計する必要があります。
まとめ｜国の注意喚起を「情シスへの宿題」で終わらせない
今回、国家サイバー統括室、総務省、IPAなどが同時に強い注意喚起を行った背景には、国内企業で情報漏えい事案が相次いでいる状況があります。
国が企業へ求めていることを整理すると、
- 外部公開システムを把握する
- 脆弱性を速やかに修正する
- MFA・権限・アカウント管理を強化する
- ログを残し異常を検知する
- 委託先まで含めて管理する
- 不要なデータを持たない
- インシデントを前提にBCPを作る
- 経営層自身が責任を持つ
という、極めて基本的な内容です。
しかし近年の事案を見ると、この「基本」が企業規模を問わず十分に実行されていないケースがあります。
今回の注意喚起を受け、DX・情報セキュリティ担当者は、今後のシステム導入時に、
「このシステムは何ができるのか」だけではなく、「侵害された場合、どこまで被害が広がるのか」
という質問を必ず入れるべきでしょう。
DXを進めるほど外部サービスや委託先との接続は増えます。
だからこそ、これからのDX担当者には利便性・コスト・スピードと同じレベルでセキュリティを設計する視点が求められます。
関連するASCENDの記事
参考情報・出典
- 総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について（注意喚起）」
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
- 内閣官房 国家サイバー統括室（NCO）
- 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」
※本記事は2026年10月9日時点で公表されている国家サイバー統括室、総務省、IPA等の注意喚起をもとに、企業のDX・情報セキュリティ担当者向けに実務上の確認ポイントを整理したものです。今回の公表は新たな法的義務を定めるものではなく、相次ぐ不正アクセス・情報漏えいを踏まえた緊急の注意喚起です。