能動的サイバー防御法が施行——基幹インフラの“取引先”が最初の30日で整えるべき検知・証跡・報告の準備

2026年10月1日、重要電子計算機に対する不正な行為による被害の防止に関する法律(令和7年法律第42号、通称「サイバー対処能力強化法」「能動的サイバー防御法」)が施行されました。本稿を書いている10月13日は施行から13日目。「最初の30日」はあと2週間強で終わります。

この法律の直接の義務を負うのは、電力・通信・金融・鉄道などの特別社会基盤事業者です。では、その事業者にシステムを納めている会社、運用を請け負っている会社、クラウドを提供している会社は無関係でしょうか。実務ではそうなりません。顧客から「御社の環境でインシデントが起きたら、何時間で、何を、誰に報告できますか」と問われ、契約・チェックシート・監査の形で準備を求められます。

この記事は、取引先(サプライヤー)の立場で、施行直後の30日に整えておくべき「検知・証跡・報告」を実務の順に整理したものです。

免責: 本記事は一般的な技術・実務情報であり、法的助言ではありません。自社が法の対象かどうか、どの義務が自社に及ぶかは、一次資料(下記)と顧客との契約、必要に応じて弁護士で確認してください。

1. まず押さえる:誰に何の義務があるのか

内閣官房・国家サイバー統括室(NCO)の公式解説資料(内閣府サイバーセキュリティ「解説資料」PDF)から、サプライヤーに関係する骨格だけを抜き出します。

• 資産の届出(法4条): 特別社会基盤事業者は、重要な電子計算機(特定重要電子計算機)を所管大臣に届け出ます。既存の設備は2027年3月31日まで、新たに導入する設備は導入から4か月以内が目安です。
• インシデント報告(法5条): 特定侵害事象を認知した場合、速報→詳報→続報の段階で報告します。ランサムウェアなどでは速報は数日以内、詳報は認知から30日以内という枠組みです(DDoS・ランサムウェア・その他で様式1〜3が分かれます。正確な期限は類型ごとに公式資料で確認してください)。
• 官民連携: 政府と事業者が情報を共有する基盤が整備されます。通信情報の利用に関する段階は2027年11月以降です。

ポイントは、報告の主体は事業者であること。しかし、事業者が報告書を書くために必要な事実(いつ侵入され、何が見られ、どこまで広がったか)は、取引先の運用範囲・ログ・保守経路に残っていることが多いのです。公式資料も、委託先・クラウド事業者が関わる場合の整理(解説資料の該当節とQ&A)を設けています。

2. なぜ取引先に準備が波及するのか

flowchart LR
  A["取引先環境で異常発生"] --> B["取引先が検知"]
  B --> C["顧客(特別社会基盤事業者)へ通知"]
  C --> D["顧客が認知・判断"]
  D --> E["速報(数日以内)"]
  E --> F["詳報(認知から30日以内)"]
  B --> G["ログ・証跡の提供"]
  G --> F

上の流れで、取引先に求められるのは次の3点です。

1. 検知できること(気づくのが遅れれば、顧客の「認知」も遅れる)
2. 証跡を出せること(詳報の中身は、取引先のログとタイムラインに依存する)
3. 報告できること(顧客の速報期限に間に合う速度で、決まった形式の情報を渡す)

3. 最初の30日:実務チェックリスト

第1週:範囲と窓口を決める

• 顧客の重要システムに触れている自社の接続経路(VPN、踏み台、リモート保守、管理者アカウント、API連携)を洗い出す
• 顧客から来る質問・契約改定の想定問答を作る(インシデント連絡の期限、ログ保存期間、再委託先の扱い)
• 24時間連絡できる窓口と代行者を決め、顧客に共有する

第2週:検知を実装する

• 収集対象を決める:認証ログ、VPN・踏み台、ADや管理者操作、EDR/AV、重要サーバーのOSログ、Webサーバー
• エンドポイントとサーバーにエージェントを入れ、ルールで重要度付きのアラートにする
• 既知の悪性IP・ドメインなどのIOCフィードと突合する
• アラートの重複排除とSLAタイマー(「いつまでに初動」)を設定する

第3週:証跡を整える

• インシデントごとにケースを作り、アラート・調査メモ・タイムライン・添付証拠を一箇所に集約する
• 証拠ファイルのハッシュ値、取得者、取得時刻を記録する
• ログの保存期間を顧客契約と突き合わせる(短すぎると詳報に必要な過去が追えません)

第4週:報告を演習する

• 公式の報告様式(様式1〜3)の項目に合わせた社内テンプレートを用意する
• 「検知から顧客へ一報」までを机上演習し、実際に何時間かかるか測る
• 顧客との報告フロー(誰が誰に、どの手段で)を文書化して合意する

4. simpliSOCでの実装例

当社のsimpliSOCは、上記の第2〜4週をそのまま形にした構成です(以下は現在提供している機能です)。

• 検知: Wazuh 4.x。9カテゴリ・50以上の検知ルール、IOCフィード連携、アラートの重複排除
• 証跡・ケース管理: DFIR-IRIS(IRIS-web)にケース記録を集約。SLAタイマーでの初動管理
• 自動化(任意): Shuffle によるワークフロー、FastAPIベースのSOCインテグレーター
• 一次トリアージ補助: ローカルLLMによる要約(データを外部に出さない構成)

現時点で標準機能ではないもの: 公的な報告様式(様式1〜3)への自動出力。ケースに蓄積した情報を様式の項目に沿って整理するテンプレートの作成は、導入時のカスタマイズとして対応する想定です。「法対応済み」を保証する製品ではなく、準備を実務に落とし込むための道具とお考えください。

SOCの構成や運用の考え方は、こちらの記事も参考になります。

• Wazuh SOCアーキテクチャ(日本の中小企業向け)
• 日本のMSP向けSOCバックエンドとオープンソース・AI
• Wazuh + IRIS-web で SOC をゼロから構築した実録

5. よくある質問(FAQ)

Q1. 自社は基幹インフラ事業者ではありません。対象外ですか?
A. 法の直接の義務は特別社会基盤事業者にあります。ただし顧客がその事業者であれば、契約・調達要件・監査を通じて準備を求められる可能性が高いです。対象かどうかは公式資料と顧客に確認してください。

Q2. 30日以内に全部やる必要がありますか?
A. 法律上の「30日」は、主に詳報の期限(認知から30日以内)です。本稿の「最初の30日」は、顧客の問い合わせに答えられる最低限の準備期間という実務上の目安です。

Q3. 資産の届出はいつまでですか?
A. 公式解説資料では、既存設備は2027年3月31日まで、新規導入設備は導入から4か月以内とされています。届出は事業者側の義務です。

Q4. OSSのSOCでも顧客に説明できますか?
A. 重要なのは製品名ではなく、検知範囲・ログ保存・ケース記録・報告手順を説明できることです。OSSは構成を自社で完全に把握できるため、監査対応で有利な面もあります。

Q5. 小さな会社でも運用できますか?
A. 範囲を「顧客環境への接続経路」に絞れば、小規模でも始められます。最初から全社を対象にしないのがコツです。

6. 一次資料

• サイバー対処能力強化法 解説資料(内閣府サイバーセキュリティ、2026年10月版)
• 施行令等の概要(INTERNET Watch)

---

Simplico Co., Ltd. は、日本企業向けの SOC 構築・運用支援、業務システム開発を行っています。お問い合わせは simplico.net まで。