みなさん、こんにちは。
ぷらっとホーム事業推進グループの清水です。
今年10月（2026年10月）からいよいよ本格的な施行が始まる「能動的サイバー防御」関連の法律（サイバー対処能力強化法）。
スタートがいよいよ間近に迫ってきましたが、なんだかかなり壮大な話に聞こえて、正直「うちには関係ない話だろうな」と感じる方も多いと思います。
しかしながら、以前ブログで「SCS評価制度が正式スタート。「ログを残す仕組み」から準備を始めよう」という記事でご紹介したサプライチェーンの部分において、実は深い関係があります。
今回は、この法律が何を目指しているのか、そして自治体や中小企業にも意外と関係してくる理由を、私たちが得意とする「ログ」という切り口から分かりやすく整理してお話ししたいと思います。
そもそも「能動的サイバー防御法」とは？
ニュースでは「能動的サイバー防御法」と呼ばれていますが、これは通称で、法律としては2025年5月に成立した「サイバー対処能力強化法」と、それに付随する「サイバー対処能力強化法整備法」 の2つから成り立っています。
▼サイバー安全保障に関する取組
重要なポイントは、2026年10月1日から、重要システムの導入届出やインシデント報告といった主要な制度がまず施行されるという点です。なお、この法律のもう一つの柱である「通信情報の利用」（警察・自衛隊などによる対処に関わる、より踏み込んだ仕組み）については、公布から2年6か月以内（2027年秋頃まで）を目途に、別スケジュールで段階的に整備が進められる予定です。
これまでの日本のサイバーセキュリティ対策は、基本的に「攻撃を受けてから対応する」という受け身の姿勢が中心でした。この法律は、それを「攻撃の兆候を早い段階でつかみ、被害が出る前に先手を打って対処する」という、能動的な体制に転換していこうという試みです。
対象は基幹インフラ事業者。でも、それだけでは終わらない
この法律の対象になるのは、「特定社会基盤事業者」と呼ばれる、電気・ガス・石油・水道・鉄道・港湾・航空・電気通信・放送・郵便・金融・クレジットカードなど15分野、250者超の事業者です（正確な者数・指定時点は随時更新されるため、掲載時に内閣府公表資料で最新値をご確認ください）。
実はこの「特定社会基盤事業者」という区分自体は、今回の法律で新しくできたものではありません。以前からある経済安全保障推進法に基づいてすでに指定されている枠組みで、今回のサイバー対処能力強化法は、この既存の対象事業者に対して「重要なシステムを新しく導入するときの事前届出」「サイバー攻撃を受けた際の国への報告義務」という新しい義務を追加するものです。
ざっくり言いますと・・・
- 法律の直接の対象は、いわゆる「基幹インフラ」を担う大きな事業者が中心
- 一般的な自治体や中小企業が、この法律によって直接何かを義務づけられるわけではない
ここは誤解のないよう、事前にお伝えしておきたいポイントです。「うちには直接関係ない」という感覚自体は、決して間違っていません。
「サプライチェーン」という回路で、自分たちにも関係してくる
では、なぜ「関係ないとは言い切れない」のでしょうか。その理由は冒頭にもお伝えした通り、サプライチェーンにあります。
基幹インフラ事業者は、自分たちだけでシステムを完結させているわけではなく、委託先や取引先、地域の協力会社など、多くの企業とつながって業務を回しています。国が基幹インフラ事業者に「サイバー攻撃の兆候をきちんと把握して報告してください」と求めれば、事業者側としても、委託先や取引先に対して「御社側の対策状況はいかがですか？」「万が一のときにログを確認できますか？」と確認したくなるのは、ごく自然な流れと言えます。
自治体も同様です。直接の法対象でなくても、指定管理者制度や外部委託が絡む業務では、発注元の自治体や情報政策部門から、委託先に対して同じような確認が入ることが今後増えていくと考えられます。
つまり、「法律上の義務かどうか」とは別に、「取引先や発注元から、セキュリティの状況について説明を求められる場面が増えていく」という形で、私たちの身近な業務にも影響が広がってくる可能性がある、ということです。
カギになるのは「ログを残しておくこと」と「確認できる環境」
状況を客観的に確認するための「記録」
こうした確認や問い合わせを受けた際に、お互いに一番安心できるのは「いつ、どのような通信があったか」を客観的に振り返ることができる状態です。
万が一「怪しい通信があったかもしれない」となったとき、その影響範囲を確認したり、自社の安全性を説明したりする際の手がかりになるのが、ネットワーク機器やサーバーが出している「ログ（記録）」です。記録がしっかり残っていれば、状況をスムーズに把握し、取引先にも根拠を持って説明しやすくなります。
管理の手間を減らす「Syslogサーバー」という選択肢
とはいえ、実際の現場では「機器ごとにログがバラバラに残っていて確認が大変」「ストレージの容量が少ないため、短期間のログしか残っていない」というお声もよく伺います。
そこで役に立つのが、複数の機器から出るログを一箇所に集めて自動で保存しておく「Syslogサーバー」です。ネットワーク機器のアクセスログ等を、一括で一定期間保存ができるため、これを用意しておくと管理の手間が大幅に軽減されます。
「自前でSyslogサーバーを構築・運用するのは少し大変そう…」というお客様向けに、ぷらっとホームではアプライアンス型の「EasyBlocks Syslogシリーズ」をご用意しています。機器を設置するだけで手間なく導入・長期保存ができるため、おかげさまで多くの企業様や自治体様でご活用いただいています。
「自社の今の環境でログが残っているか不安」「取引先からの問い合わせに備えておきたい」という方は、本格的な検討の前段階でも大丈夫ですので、ぜひお気軽にご相談くださいね。
まとめ
能動的サイバー防御法は、直接の対象が基幹インフラ事業者に限られるため、一見すると遠い世界の話のように感じるかもしれません。ですが、サプライチェーンを通じて「セキュリティ対策の状況を確認される」という機会は、今後少しずつ増えていくことが予想されます。
大切なのは、法律の細かい条文を気にするよりも、「何か聞かれたときに、自社の状況をきちんと確認・説明できる準備をしておく」ということです。
まずは、「今うちのルーターやサーバーのログってどうなっているんだろう？」と、自社の環境をチェックしてみることから始めてみてはいかがでしょうか。
気になることがあれば、いつでも弊社までお声がけください！