メインコンテンツへスキップ

「悪いIPを止める」をどう実現するか――サイバーイージス構想を考える

    増島雅和

    1. はじめに

    2026年11月2日、GMOインターネットグループの熊谷正寿代表は、同社グループが受けた不正アクセスについての記者会見の中で、「サイバーイージス構想」という考えを示されました。海外からの悪いIPアドレスを検知したら、即座に通信事業者に止めてもらう制度を日本につくるべきだ、というものです。熊谷代表は、これが「私見で、GMOとしての意見ではございません」と断ったうえで話しています。

    その6日前の10月27日には、総務省が通信分野の業界団体を通じて、攻撃者が個人情報を掲載したウェブサイトへの接続を遮断するよう、通信事業者に要請していたと報じられています。構想が語られる前に、政府が通信事業者に「止めてほしい」と求める場面が、すでに現実に起きていたことになります。

    前回の記事「GMOの事案は序章にすぎない――インフラのインフラを誰が守るのか」では、攻撃者が業種ではなく多くの利用者が依存する「結節点」を狙うこと、日本の重要インフラ制度がその結節点を網の外に残していることを論じました。この記事はその続きです。熊谷代表の発言を手がかりに、構想の中身を僕なりに推し量り、それを実現しようとしたときに、技術的に可能か、法的に可能かを考えてみたいと思います。

    先に結論を言えば、止めるための技術はおおむねそろっています。足りないのは法制度のほうです。何を止めるのか、誰が判断して責任を負うのか、そして政府の求めに応じて止めた通信事業者を誰が守るのか。この記事では、この三つの問いを中心に、皆さんと考えていきたいと思います。

    なお、熊谷代表が同じ会見で触れられたAIの開発競争やソブリンAIの話は、この記事では扱いません。

    次のような順番でお話を進めていきます。まず、熊谷代表の発言から構想の中身を推測します（2章）。次に、それを技術的に実装できるかどうかを確かめます（3章）。そのうえで、「何を止めるのか」によって法的な根拠がまったく違うことを示し（4章）、10月27日の要請が何を示したかを考えます（5章）。続けて海外の制度を概観し（6章）、構想で詰められていない点と（7章）、法制度で手当てすべき点を（8章）、現時点で僕が感じている課題として共有してみたいと思います。

    2. 構想は何を言っているのか

    会見での発言

    構想について熊谷代表が話されたのは、会見の質疑応答の二か所です。

    一つ目は、流出した情報を掲載したサイトへのブロッキングについての記者の質問に答えた場面です。熊谷代表は、犯罪組織がAIを悪用して無差別に攻撃している状況は一個人、一企業では対応が難しいとしたうえで、「サイバーイージスというものを日本で運用を開始し、海外からの悪いIPを検知、即座にキャリアさんに停止を依頼するという制度を作るべきだと思ってます」と述べられました。背景として、匿名のVPNや、犯罪者を顧客にするホスティング事業者が世界の多くの国に拠点を持ち、攻撃者がそれらを経由するため足取りがつかめないことを挙げています。そして、「通信の秘密とか色々あるのは分かりますよ。でもIPを止めればいいんですよ。総務省がキャリアに言って、犯罪のIPだから止めろと」「法律変えたらいいんですよ」と続け、裁判所で令状を取ってから止めに行くのでは間に合わない、という問題意識を示していました。

    二つ目は、AIの規制についての質問に答えた場面です。熊谷代表は、「AIが察知して、AIが各種手配して、総理がイエスの判断だけしたら、もう各省庁に行って、キャリアまでそのまま行くっていう仕組みがサイバーイージスだと思うんですよ」と述べ、連絡にファックスや電話、稟議書を使っていては勝てない、と話されました。

    構想の全体像を推し量る

    この二つの発言から、構想の全体像を推測します。

    構想を流れとして描くと、「観測 → 評価 → 承認 → 配布と実行 → 確認と解除」という五つの段階になると考えられます（図1）。企業や通信事業者、セキュリティ事業者が攻撃の痕跡を観測し、それを集めて、どのIPアドレスやドメインが攻撃に使われているかを評価します。評価の結果を政府が承認し、機械が読める形で各通信事業者に配ります。通信事業者はそれぞれ自分のネットワークの上で該当する通信を止め、効果を確かめ、不要になったら解除します。熊谷代表の発言では、評価と手配をAIが担い、承認を総理が行う、という姿が語られています。


    画像

    この描き方で大事なのは、判断は共同で行い、実際に止めるのは各通信事業者が自分のネットワークで行う、という分担です。全国の通信を一か所の巨大な装置に集める必要はありませんし、AIがすべての通信を一つずつ読む必要もありません。

    構想の主眼は速さ

    こう整理すると、構想の新しさは、止めるための新しい装置にあるのではなく、攻撃を見つけてから止めるまでの時間を縮めることにあると考えられます。ファックスや稟議書のたとえは、そのことを指しているように思われます。

    他方で、会見では語られていないこともあります。止めるのは攻撃の通信なのか、流出した情報を掲載したサイトなのか。誰が「悪いIP」だと判断し、その判断に誰が責任を負うのか。誤って止めたときにどうするのか。これらは発言からは分かりません。この記事の後半では、この空白を埋める作業をしてみたいと思います。

    3. 技術はそろっている

    止める技術

    では、構想は技術的に実現できるのでしょうか。まず、通信を止める技術から確かめてみます。

    通信事業者のネットワークのルーターには、送信元や宛先のIPアドレス、ポート番号、プロトコルなどの条件に合う通信を遮断したり、流量を制限したりする機能があります。さらに、こうした遮断のルールを、ネットワークの中や事業者の間で一斉に配信する仕組みもあります。IETF（インターネットの技術標準を定める団体）のRFC 8955が定める「BGP Flow Specification」はその代表例で、その前身のRFC 5575は2009年に公表されています。条件に合う通信を機械的に止めることは、AI以前にも技術的に可能ということです。

    ドメイン名で止める方法もあります。通信事業者が利用者に提供しているDNSサーバー（ドメイン名をIPアドレスに変換するサーバー）で、特定のドメイン名の問い合わせに答えないようにすれば、そのドメインへの接続を止められます。

    情報を渡す技術

    次に、「何を止めるか」の情報をやりとりする技術です。攻撃に使われたIPアドレスやドメイン名、マルウェアの特徴など、攻撃の痕跡を示す情報は「IoC（Indicators of Compromise）」と呼ばれます。RFC 9424は、IoCを発見し、評価し、共有し、防御に使うという一連の運用を整理しています。また、脅威情報を機械どうしでやりとりするための標準として、STIX（情報の記述形式）とTAXII（情報の受け渡しの手順）があり、2021年6月にOASIS（情報技術の標準化団体）の正式な標準になっています。

    日本の通信事業者の取組み

    日本の通信事業者も、こうした技術を使った対策をすでに行っています。「インターネットの安定的運用に関する協議会」と、日本インターネットプロバイダー協会、電気通信事業者協会、テレコムサービス協会、日本ケーブルテレビ連盟、ICT-ISACの5団体が作成した「電気通信事業者におけるサイバー攻撃等への対処と通信の秘密に関するガイドライン」（第6版、2021年12月15日。以下「ガイドライン」）は、マルウェアに感染した端末と、攻撃者の指令サーバー（C&Cサーバー）との通信を、DNSサーバーで遮断した通信事業者の事例を載せています。自社のネットワークを流れる通信の統計情報（フロー情報）を分析して、未知の指令サーバーを見つける取組みも取り上げています。

    残る課題は発明ではなく運用

    このように、止める技術も、情報を渡す技術も、部品としてはそろっています。残っている課題は、それをどう運用するかです。

    第一に、「悪いIP」は犯罪者の固定した住所ではありません。一つのIPアドレスを、クラウドやVPN、アドレス変換の仕組みを通じて、多数の利用者やサービスが共用していることがあります。乗っ取られた正規のサーバーが攻撃に使われることもあります。RFC 9424も、IPアドレスの共用や用途の変化を、IoCを防御に使う際の制約として挙げています。「このIPから攻撃が来た」こととから、「このIPとの通信をすべて止めてよい」ということにはなりません。

    第二に、IoCは古くなります。攻撃者は接続先をすぐに変えますし、以前は攻撃に使われていたIPアドレスが、別の正当な利用者に割り当てられることもあります。RFC 9424は、IoCが時間とともに価値を失うことも指摘しています。止めた対象を見直し、解除する仕組みがなければ、誤って止める範囲は時間とともに広がっていきます。

    第三に、経路の上での遮断には限界があります。通信が暗号化されていれば、途中の通信事業者はURLや中身を見ることができません。DNSの問い合わせを暗号化する技術（DNS over HTTPS）を使われれば、通信事業者のDNSサーバーでの遮断は素通りされます。Torのような匿名化の仕組みを使うサイトは、経路の上ではそもそも止められません。

    そして、AIで判定を全国に即時に反映できるようになれば、正しい判定の効果が速く広がるのと同じだけ、誤った判定の影響も速く広がります。構想が求める速さを実現するなら、止める速さと同じだけ、訂正と解除の速さが要ります。これは技術の問題というより、運用と制度の設計の問題です。

    4. 何を止めるのか――三つの対象で法的な距離が違う

    「止める」は通信の秘密の守備範囲

    ここから法的な検討に入ります。最初に押さえておきたいのは、通信事業者が通信を止めるには、止めるべき通信かどうかを確かめるために、利用者の通信の宛先や送信元を機械的に確認する必要があり、それ自体が通信の秘密（憲法21条2項、電気通信事業法4条）に触れるということです。国家サイバー統括室の「サイバーセキュリティ関係法令Q&Aハンドブック」（Ver.3.0、2026年10月）も、通信の秘密の対象には通信の内容だけでなく、通信の日時や当事者を識別する情報なども含まれ、機械的・自動的な処理であっても通信の秘密を侵すことになりうる、と整理しています。「中身は読まずにIPアドレスだけを見る」「人ではなくAIが処理する」というだけでは、この問題は解消されません。

    他方で、通信の秘密があるから一切止められない、というわけでもありません。通信事業者が利用者の同意を得ている場合や、正当業務行為、正当防衛、緊急避難（刑法35条〜37条）にあたる場合には、違法とはされません。問題は、止める対象によって、どの根拠に依拠できるか、つまり適法として扱われるための要件が異なることです。

    構想の対象として考えられるものは、大きく三つあります。一つ目は、海外から入ってくる攻撃の通信です。二つ目は、国内で感染した端末と海外の指令サーバーとの通信、そしてそれを使った情報の持ち出しです。三つ目は、流出した情報を掲載したサイトへの利用者のアクセスです。熊谷代表の発言の中心は一つ目ですが、会見での記者の質問は三つ目から始まっていました。三つを順に見ていきます（図2）。


    画像

    一つ目：海外からの攻撃の通信

    まず、海外から入ってくる攻撃の通信です。この類型については、ガイドラインに最も厚い整理があります。

    攻撃を受けている顧客から依頼を受けて、その顧客宛ての攻撃の通信を通信事業者が遮断することは、顧客の同意に基づくものとして通信の秘密の侵害にはならない、とされています（問1・問2）。顧客が申し込む有償のDDoS防御サービスは、この形にあたると考えられます。また、大量の攻撃の通信で通信事業者自身の設備に支障が生じるおそれがあるときに、それを一時的に遮断することは、正当防衛や緊急避難として認められるとされています（問4・問5など）。

    注意が必要なのは、経路の途中にいる別の通信事業者が止める場合です。ガイドラインは、攻撃を受けている側の通信事業者から情報を受けた送信側の通信事業者が、攻撃の送信者に警告や利用停止の措置をとることは、通常、正当防衛や緊急避難にあたるとしています。しかし、通信そのものを「一時的に」遮断できるのは、その通信によって自社の設備に影響が生じ、業務に支障が出るおそれがある場合だと書いています（問16・問17）。経路の上での遮断は、事業者が自分の設備を守ることを足がかりにして認められているのです。

    つまり、今の整理で説明できるのは、いま攻撃を受けている特定の顧客や、自社の設備を守るための、一時的な遮断です。政府の一覧に基づいて、すべての利用者を対象に、攻撃元のIPアドレスとの通信を予防的に止めることを説明する整理はありません。「GMOへの攻撃を経路の上で止める」ことでさえ、通信事業者自身の設備に影響が出ていなければ、ガイドラインの枠組みでは説明しにくいのが現状です。構想の中心にある「悪いIPを全国で止める」は、この類型に属しますが、今の整理ではまだ実現できません。

    二つ目：指令サーバーとの通信と情報の持ち出し

    二つ目は、感染した端末と指令サーバーとの通信です。法的には、三つの中でこれが最も安定しています。

    ガイドラインは、通信事業者がDNSサーバーで、指令サーバーのドメイン名への問い合わせを照合して遮断することについて、契約約款による事前の包括同意で足りるとしています（問30③）。通常、約款による包括的な同意は、通信の秘密について有効な同意とは認められにくいのですが、この場合は、利用者がいつでも同意を撤回できること、撤回しても他の提供条件が変わらないこと、そのことが十分に周知されていること、などを条件に有効とされています。ガイドラインは、こうした扱いをする理由として、感染した端末と指令サーバーとの通信が、利用者の望まないまま自動的に行われるものであることを挙げています。同じ包括同意の枠組みで、ルーターでIPアドレスを照合して遮断する事例も示されています（問32）。さらに、平時から自社ネットワークのフロー情報を分析して未知の指令サーバーを見つけることは、必要最小限の範囲で他の目的に使わない限り、正当業務行為とされています（問33）。見つけた指令サーバーのIPアドレスのリストを事業者団体に提供することも、通信の秘密に「直ちに抵触するとまではいえない」とされています（問34）。

    ただし、この整理には二つの限界があります。一つは、利用者が同意を撤回できることが前提になっているため、すべての利用者について一律に止めることはできない点です。もう一つは、感染した端末から外部へ情報を持ち出す通信の遮断を、正面から扱った問いがない点です。

    三つ目：流出した情報を掲載したサイト

    三つ目は、流出した情報を掲載したサイトへのアクセスです。これが最も難しい類型です。

    ガイドラインは、指令サーバーとの通信の遮断を包括同意で認める整理は、「違法・有害なコンテンツ等へのアクセスに対する遮断一般を認めるものではない」と明記しています（問30③）。サイトを見に行くのは利用者自身の意思による通信であり、知る自由にも関わるからです。そうすると、依拠できる根拠は、事実上、緊急避難しか残りません。日本で緊急避難としてブロッキングが行われているのは、児童ポルノだけです。

    緊急避難が認められるには、現在の危難があること、ほかに方法がないこと（補充性）、守られる利益と失われる利益が釣り合っていること（法益の権衡）が必要です。流出した情報を掲載したサイトの場合、ほかの方法が多くあります。サイトを置いているホスティング事業者に削除を求めること、サイトのドメインを管理する事業者に停止を求めることなどです。補充性の要件が緊急避難としてブロッキングをすることを難しくしています。

    実際、今回の事案では、攻撃者のサイトは10月28日午前4時ごろ、ドメインを管理する米国の事業者によって停止されたと報じられています。GMOがこの事業者にドメインの停止を求めていたとのことです。遮断以外の手段が、要請の翌日に効果を上げたことになります。

    5. 総務省の要請が示したこと

    何があったのか

    報道によれば、総務省は10月27日付の文書で、電気通信事業者協会や日本インターネットプロバイダー協会など、通信分野の業界4団体を通じて、攻撃者のウェブサイトへの接続の遮断を通信事業者に要請しました。読売新聞によれば、要請文は「情報を悪用した二次被害が拡大する現実的な恐れが生じている」として、「本事案の社会的影響の大きさに鑑み、当該情報が掲載されているサイトの遮断を要請する」と求めたとされています。対象は、GMOの顧客のものとされる個人情報を掲載したサイトで、前章の三つ目の類型にあたります。要請の文書そのものは公表されていません。

    10月30日の閣議後の記者会見で、藤井総務大臣は、要請したかどうかを含めて具体的な対応についての回答を控えました。そのうえで、インターネット上で個人情報が公開されてプライバシーが侵害されることは許されず、「当該情報を悪用した二次被害の拡大を防止することが重要である」と述べ、通信事業者とも様々なやりとりをしていると説明しています。

    あの時点でとりうる最善の対応

    僕は、この要請は、あの時点で政府がとりうる最善の対応だったと考えています。個人情報が実際に掲載され、拡散するおそれが現実になっている中で、政府にできることは限られていました。電気通信事業法にも、サイバー対処能力強化法（重要電子計算機に対する不正な行為による被害の防止に関する法律）にも、政府が通信事業者にサイトの遮断を命じる規定はありません。その中で、業界団体を通じて文書で協力を求め、二次被害を防ごうとしたことは、行政として迅速で、筋の通った判断だったと思います。そして、おそらくその後ろには政治的な決断もあったのでしょう。

    法的な位置づけ

    ただ、法的に見ると、この要請は行政手続法2条6号の「行政指導」としか位置づけられません。総務省が業界団体を通じて事業者に求める例はこれまでもあり、たとえば2025年9月1日のフィッシングメール対策の要請では、文書に「本要請は、行政手続法…第２条第６号に規定する行政指導に該当するもの」と明記されていました。行政指導は、相手方の任意の協力によってのみ実現されるものです（行政手続法32条1項）。

    ここで大事なのは、行政指導には、それに応じた事業者の行為を適法にする効果がないことです。通信事業者が要請に応じてサイトを遮断すれば、それは事業者自身の行為であり、通信の秘密との関係は事業者自身が説明しなければなりません。前章で見たとおり、この類型で依拠できるのは事実上緊急避難だけで、それが成り立つかどうかを判断し、そのリスクを負うのは事業者ということになります。

    通信事業者の置かれた立場

    このことは、通信事業者の側から見るとよく分かります。報道によれば、要請を受けた通信大手の幹部は、実際に遮断したかどうかについて「明らかにできない。ただ、実施するかどうかの判断は難しい」と述べています。

    NTTの島田明社長は、11月4日の決算説明会で、要請を受けたかどうか、遮断したかどうかについては「ノーコメント」とされたうえで、ブロッキングは「『利用者保護』と『通信の秘密』の両方を成立させないといけない案件」だと述べられました。そして、「緊急避難のガイドラインの整備ですとか、それから究極的には法制化を進めていただくことが重要だと考えています」「できれば（こういう事態を）想定して（何らかのルールを）事前に作っておく必要はあると考えます」と話されています。

    政府は求めることはできても、応じた事業者を守ることはできない。事業者は、二次被害を防ぎたいという要請の趣旨を理解しながら、自分の責任で、通信の秘密との関係を判断しなければならない。10月27日の要請が示したのは、この構図だと思います。

    総務省自身が示していた課題

    この課題は、総務省自身も認識しています。総務省が事務局を務める「オンラインカジノに係るアクセス抑止の在り方に関する検討会」の報告書（2026年7月）は、ブロッキングが「すべてのインターネット利用者の宛先を網羅的に確認することを前提とする技術」であり、「通信の秘密」や「知る自由・表現の自由」に抵触しうる対策だとしています。そのうえで、ブロッキングを実施するなら「法解釈に基づく事業者の自主的取組として行うのは適当でなく、法的担保が必要である」とし、実施の根拠については「立法措置を講じることが必要である」と結論づけています。

    報告書はオンラインカジノについてのものですが、法律の根拠がないまま事業者に遮断の判断を委ねることの難しさは、サイバー攻撃の場面でも変わりません。10月27日の要請は、報告書が示した課題が、サイバー攻撃の場面でも現実になったことを示したといえます。

    熊谷代表が「法律変えたらいいんですよ」と述べたのも、この点に関わると思います。政府が通信事業者に「止めてほしい」と求めることは、今でも行政指導としてできます。今の制度でできないのは、求めに応じて止めた事業者を法的に守ることです。

    6. 海外はどう作っているか

    では、海外には、政府の判断で通信事業者に通信を止めさせる仕組みがあるのでしょうか。民主国家の制度をいくつか概観します（図3）。


    画像

    ドイツ：行政機関が命じる型

    ドイツでは、連邦情報セキュリティ庁（BSI）が通信事業者に遮断を命じることができます。BSI法16条（2025年12月のNIS2指令の国内法化したもの）は、重大な危険を防ぐため、BSIが公衆向けの電気通信サービスの提供者に、通信の制限・転送・遮断などの措置をとるよう命じられると定めています。BSIが指定する接続先へ通信を転送させること（いわゆるシンクホール）もできます。主な対象は、感染した機器と指令サーバーとの通信、つまり前章の二つ目の類型です。命令にあたっては連邦ネットワーク庁と協議し、BSIが特定のマルウェアを除去する指令を配信させる場合には、連邦データ保護監察官の同意が必要とされています。

    フランス：対象を絞り、独立機関が統制する型

    フランスでは、2023年８月に施行された軍事計画法で国防法典にL.2321-2-3条が設けられています。国防と国家安全保障を害するおそれのある脅威があるとき、国家情報システムセキュリティ庁（ANSSI）は、DNSを提供する事業者やドメイン名の登録事業者に、ドメイン名の遮断・停止・転送などを求めることができるとされています。

    この制度には、対象と手続の絞り込みがあります。ドメイン名が保有者の知らないうちに悪用されている場合は、まず保有者に期限を付けて対処を求め、期限までに対処されないときに限り遮断や停止を求められます。攻撃のために登録されたドメイン名であれば、保有者を経ずに求められます。事業者への履行期限は2営業日以上とされ、脅威を分析するための転送は2か月まで、更新は1回に限られ、更新には独立規制機関である電子通信・郵便・新聞流通規制機関（ARCEP）の同意が必要です。措置はARCEPの統制のもとに置かれています。

    オーストラリア：重い手続のもとで大臣が命じる型

    オーストラリアの重要インフラ保安法（Security of Critical Infrastructure Act 2018）は、重要インフラの資産に重大な影響を与えるインシデントが起きたとき、大臣の認可に基づいて、所管の長官がその資産の責任主体に措置を指示できると定めています（35AB条）。認可の要件は重く、社会・経済の安定や国防、国家安全保障に重大な支障が生じる重大なリスクがあること、既存の規制では実効的に対応できないこと、事業者が自ら合理的な対応をとる意思がないか、とれないこと、指示が必要で比例的で技術的に可能であることが求められます。政府機関が自ら介入する場合には、さらに首相と国防大臣の同意が必要です。この仕組みは、被害を受けた重要インフラの資産を守るためのもので、一般の通信事業者に第三者を守るための遮断を命じる制度ではありません。

    要請にとどまる国、手段を持たない国

    韓国では、情報通信網法とその施行令に基づき、科学技術情報通信部長官（または委託を受けた韓国インターネット振興院）が、主要な情報通信サービスの提供者やデータセンター事業者に、侵害事故の拡散に使われている接続経路の遮断を「要請」できます（施行令56条1号）。日本で10月27日に行われた要請に近い形といえます。

    英国と米国には、サイバー攻撃への対処を目的として、政府が通信事業者に遮断を命じる一般的な権限はありません。英国の国家サイバーセキュリティセンター（NCSC）が提供する保護DNS（Protective DNS）は、公共部門の組織が利用するサービスです。米国では、司法省が裁判所の令状や差止命令を得て、ボットネットの指令サーバーを止める方法がとられています。EUのNIS2指令も、加盟国に、当局が遮断を命じる権限を設けることまでは求めていません。

    三つの型が示すこと

    こうして見ると、民主国家にも、政府の判断で通信事業者などに止めさせる仕組みはあります。ただし、どの国も、何を止めるかを絞り込むか、独立した機関による統制や期間の上限を組み込むか、重い要件と手続を課すかしています。速さを求める制度ほど、その速さを支える歯止めを法律の中に書き込んでいる、ということができると思います。

    7. 構想で詰められていないこと

    ここまでの検討を踏まえて、構想を実現しようとしたときに詰めなければならない点を整理します。

    何を止めるのか

    第一に、止める対象です。4章で見た三つの類型のどれを含めるのか。現に攻撃に使われている通信だけを止めるのか、攻撃に使われる疑いがある段階のものも含めるのか。類型ごとに依拠できる根拠が違うので、構想の設計は、まずここから始まります。

    誰が判断し、誰が責任を負うのか

    第二に、判断の主体と責任です。熊谷代表の発言では、AIが察知と手配を担い、総理が承認する姿が描かれていました。しかし、AIは判断の材料を用意するにとどまるのか、あらかじめ決めた基準の範囲で止める対象を決めるのか。総理の承認は、案件ごとの承認なのか、事前に方針を承認しておくものなのか。構想が速さを重視するなら、事前の方針の承認になると考えられますが、その場合、個々の判断に誰が責任を負うのかを決めておく必要があります。

    誤りにどう備えるのか

    第三に、誤りへの備えです。3章で見たとおり、「悪いIP」の判定には誤りがつきまといます。止める対象と期間を限ること、止められた側が解除を申し出られること、判断の根拠と実施の記録を残すこと、事後に検証すること、独立した機関が監督することが必要になります。フランスのARCEPによる統制や転送期間の上限、ドイツのデータ保護監察官の関与は、その例です。

    費用と損害を誰が負うのか

    第四に、費用と損害です。遮断のための運用費用を誰が負担するのか。誤って止めたことで利用者や第三者に損害が生じたとき、それを誰が負うのか。これを決めずに事業者に協力を求め続ければ、事業者は慎重にならざるをえません。

    今の制度とどうつなぐのか

    第五に、既存の制度との関係です。2026年10月1日に主要な部分が施行されたサイバー対処能力強化法には、総務大臣が政府の分析情報を通信事業者に提供し、攻撃への「対処を求める」ための規定があります（38条4項）。ただ、これは情報を提供する規定で、遮断を命じるものではありませんし、流出した情報を掲載したサイトは対象外です。通信情報を取得して分析する部分（第3章〜第7章）はまだ施行されておらず、政府は来年秋の施行を予定しています。警察による「アクセス・無害化措置」（警察官職務執行法6条の2）は、攻撃に使われているコンピューターそのものに働きかける措置で、通信の経路の上で通信を止めるものとは別のものです。構想は、これらの制度と重なる部分と、どれにも当てはまらない部分を持っています。

    8. 法制度で手当てすべきこと

    最後に、構想を法の支配の中で実現するために、法制度で手当てすべきだと僕が考えていることを、三つの課題として共有したいと思います。

    一つ目の課題：求めに応じた事業者を法律で守る

    一つ目は、政府の求めに応じて通信を止めた事業者を、法律で守ることです。

    日本では、政府から事業者への働きかけは任意の要請という形をとるのが通例で、この型は維持してよいと思います。そのうえで、法律で定めた要件と手続に従って遮断した事業者の行為が、通信の秘密の侵害にはならないことを、法律で明らかにするのが良いように思います。今は、緊急避難が成り立つかどうかを、事業者が一社ずつ、自分の責任で判断しています。法律で要件と手続を定めておけば、10月27日のような要請を、次は事業者が安心して受けられるようになります。島田社長が述べられた「事前に作っておく」ルールは、この形をとるのが自然だと考えます。

    二つ目の課題：対象ごとに段階を分ける

    二つ目は、止める対象ごとに段階を分けて制度を作ることです。

    指令サーバーとの通信は、すでにガイドラインで整理が進んでいるので、その整理を法律の要件に引き上げ、利用者がオプトアウトできることを前提としない形や、情報の持ち出しの通信にまで広げることが考えられます。海外からの攻撃の通信は、攻撃が現に起きている場面に限って、政府の分析を根拠に、複数の通信事業者が同時に止められるようにすることが考えられます。流出した情報を掲載したサイトについては、緊急時に事業者が依拠できる要件と手続を法律で定めるとともに、ホスティング事業者への削除要請やドメインの停止といった、遮断以外の手段を速く動かせるようにすることが、あわせて必要だと思います。

    三つを一つの制度にまとめると、最も難しい類型に合わせて全体が重くなりがちです。類型ごとに要件の重さを変えるのが、規制を目的に比例させるという観点からも妥当だと考えます。

    三つ目の課題：判断の責任と独立した統制を組にする

    三つ目は、判断の責任と、独立した機関による統制を組にすることです。

    誰が止める対象を認定するのかを法律で定め、止める期間の上限、判断と実施の記録、事後の検証を組み込み、それを独立した機関が統制する仕組みが良いように思います。その機関として、2026年4月に設置されたサイバー通信情報監理委員会を使うことは一つの考え方だと思います。この委員会は、警察によるアクセス・無害化措置の事前承認と、承認を得るいとまがない場合の事後の通知を受ける役割をすでに担っています。通信の秘密に関わる措置の統制という点で、遮断の統制にも通じるところがあります。

    速さと歯止めは両立する

    構想が求める速さと、ここで述べた歯止めは、対立するものではないと思います。速く動くために必要なのは、審査をなくすことではなく、平時のうちに基準と権限を決めておき、緊急時に迷う部分を減らすことです。何を、誰の判断で、どの範囲で、いつまで止めるのかが事前に決まっていれば、通信事業者は一社ずつ法的なリスクを抱え込むことなく、速く動けるようになります。

    9. おわりに

    熊谷代表が会見で示した構想は、攻撃を見つけてから止めるまでの時間を縮めようという問題提起として受け止めることができます。そのための技術の部品は、すでにそろっています。足りないのは、何を止めるのかを区別し、誰が判断して責任を負うのかを定め、求めに応じた事業者を守る法制度です。

    10月27日の要請は、法律の根拠がない中で、政府と通信事業者が二次被害を防ぐために動いた例でした。同じことは、これからも起こると考えられます。そのたびに事業者が一社ずつ判断を迫られる状態を続けるのか、それとも、速さを法の支配の中に組み込む制度を平時のうちに作るのか。次の事案が起きる前に議論を始めておくことが、前回の記事で論じた結節点の問題とあわせて、日本のサイバー防衛の課題だと僕は考えています。

    注：筆者はGMO AI & Crypto株式会社の社外取締役を務めていますが、本稿は個人としての見解です。

    参考資料

    会見と報道

    日本の制度と政府資料

    技術標準

    海外の制度

    あなたへのおすすめ