サイバーセキュリティ緊急対策パッケージとは、2026年11月6日の第2回「サイバーセキュリティに関する関係閣僚会議」で決まった、政府のサイバー対策の取りまとめです。中小企業に新しい法的な義務ができたわけではありませんが、基本的な対策を当たり前に講じることと、保有する情報を必要な範囲に絞ることを、発注者・委託先・経営層それぞれに呼び掛ける内容となっています。社員10〜200名の会社であれば、まずは公開中のサイトや管理画面の点検、委託先との契約の確認、被害時の連絡先の共有から手を付けることになります。施策ごとに自社に何が関わるか、今週・今月・年内にやることも表にまとめました。

※本記事の内容は2026年11月8日時点で内閣官房が公表している資料にもとづきます。決定文書は内閣官房のサイバーセキュリティ緊急対策パッケージ（PDF）で読むことが出来ます。

サイバーセキュリティ緊急対策パッケージとは｜決定の経緯と位置づけ

このパッケージは、早期に実施や着手が出来る施策を中心に、4つの柱の下にまとめた政府の対策集になります。決定は2026年11月6日で、厚生労働省が周知に使った概要にも日付入りの記載があります。会議は総理大臣官邸で開かれ、高市総理が出席しました。

資料はこのパッケージを、AI時代にふさわしいサイバーセキュリティの在り方へ移っていくための「出発点」と位置づけています。別添の施策一覧には中長期の課題も含まれていて、すべてがすぐに始まるわけではない点には注意が必要でしょう。

なぜ今、緊急対策なのか

背景として資料は、不正アクセスや情報漏えいの事案が相次ぎ、国民生活や企業活動に大きな不安と影響が出ていることを挙げています。目指す姿は、あらゆる組織が基本的な対策を当たり前に講じて被害を防ぎ、被害が出ても官民で攻撃の情報を共有していち早く対処し、迅速に支援を受けて立ち直れる社会です。資料ではこれを「世界最高水準のサイバーレジリエンス」と呼び、特定の組織や業界ではなく社会全体で向き合う課題とされています。なお、資料には特定の被害企業の名前は書かれていません。

予備費は総額100億円

同じ11月6日の閣議では総額100億円の予備費の使用が決まったと、財務大臣が会見で説明しています。会見で挙げられた使い道は、政府機関等の重要システムでAIを使って脆弱性を点検する経費に20億円、警察のサイバーセキュリティ対策のための資機材の整備などに41億円、デジタル庁のシステムのセキュリティ強化に38億円となります。会見で挙げられた3項目は政府機関・警察・デジタル庁の経費で、中小企業向けの補助は含まれていません。

4つの柱の名称と中身を1つの表で見る

パッケージの中身は、予防・情報集約・対処・被害者支援の4つの柱に分かれています。

会社の目線で読むと、関係が深いのは柱1の基本対策と、柱3・柱4の被害時の支援になります。柱2の情報集約は政府側の体制づくりが中心ですが、大企業の委託先になっている会社には評価制度の話が関わってきます。別紙の「その他」にある契約の話も、ホームページや業務システムを外注している会社には見過ごせない内容でしょう。ここからは柱の順ではなく、会社が手を動かす順に見ていきましょう。

漏えいの多くは基本対策の不備｜政府が示した原因

資料が示す原因は、自組織や委託先での基本的な対策の不足です。具体的には「既知の脆弱性の放置、ウェブサイト等の設定不備、アプリケーション開発時のセキュリティ対策の不足」などを挙げ、自組織または委託先で基本的な対策が十分でなかった事例が多いと書かれています。そのうえで、AIの進展により「こうした隙が短時間かつ大規模に突かれる時代となっている」と続きます。脆弱性とは、ソフトウェアや設定にある、攻撃に使われうる欠陥のことになります。

裏を返すと、柱1は「既知の脆弱性への対応、適切な設定、開発時や委託先の管理といった基本的な対策の徹底により、被害を防止・軽減することが可能」という考え方に立っています。特別な製品を買う前に、公開中のサイトのソフトの更新、管理画面の設定、委託先の管理を見直すところから始められるわけです。AIを使った攻撃の手口はAIを使ったサイバー攻撃の手口と対策で詳しく紹介しているので、あわせて読んでみてください。

発注者・委託先・経営層それぞれの責任

柱1には、政府・地方公共団体・企業を問わず「発注者・委託先・経営層それぞれが責任を持ち、基本的な対策を『当たり前』に講じる」と書かれています。社員10〜200名の会社は、この3つの立場を同時に持っていることが多いでしょう。ホームページの制作や保守を外に頼んでいれば発注者で、取引先のデータを預かっていれば委託先になり、そのどちらも最後に判断するのは経営者となります。委託先に任せているから自社は関係ない、という考え方はこの書きぶりと合わなくなってしまいます。

中小企業に新しい義務はできたのか

結論から言うと、パッケージの中に中小企業へ新しい法的な義務を課す記述はありません。柱1の「当たり前」に講じるという部分は呼び掛けで、義務を新しく設ける書き方にはなっていないためです。それでも、何もしなくてよいという意味にはならないでしょう。

個人情報保護委員会は不要なデータの消去について注意喚起を出しており、警察・内閣官房・所管省庁は、企業から通報やログ等の証拠の提供が得られるよう要請していく方針です。SCS評価制度は大企業の委託先管理の手法として推奨されていて、大企業と取引のある会社には無関係とは言い切れない制度になります。義務かどうかよりも、被害が出たときに自社と取引先を守れるかどうかで判断してみてください。

保守・委託契約で「脆弱性を誰が直すか」を決めておく

ホームページや業務システムを外注している会社は、脆弱性が見つかったときに誰が直すのかを契約で確かめることをおすすめします。別紙の「その他」には、システム開発契約や運用保守契約で脆弱性対応の実施主体がはっきり決まっていない場合が多く、緊急の対策が必要になったときに支障が出る事例があると書かれています。運用開始後に脆弱性が見つかるリスクの例として挙げられているのが、先般公表されたPHPの重大な脆弱性になります。PHPは、ウェブサイトの仕組みを作るのに広く使われているプログラミング言語です。

国家サイバー統括室は、契約で留意すべき事項を広める方策を検討するとしていて、決まった様式がまだあるわけではありません。その分、今の契約書を自分たちで読み、次の点を委託先と話しておくと安心でしょう。

• 脆弱性の修正は誰の作業か保守契約の範囲に、ソフトの更新やセキュリティの修正が入っているか。入っていなければ、誰が実施するのか。
• 対応の期限重大な脆弱性が公表されたとき、何日以内に対応するのか。
• 緊急対応の費用緊急の修正は月額の範囲に入るのか、別料金になるのか。
• 連絡の流れ委託先が気づいたとき、自社が気づいたとき、それぞれ誰に連絡するのか。
• システムの一覧委託先が用意したサーバーや追加機能まで含めて、どのシステムがあるかを一覧にしているか。

総務省が地方公共団体に要請した「委託先が提供するものを含む全てのウェブシステム等とそのセキュリティ対策を把握すること」という項目は、民間の会社にもそのまま当てはめることが出来ます。部署ごとに独自に契約しているサービスがあれば、それも一覧に入れておきましょう。

保有する個人データを必要な範囲に絞る｜個人情報保護委員会の動き

柱1でもう1つ大きいのは、万一侵入されても被害を小さく抑えるために、保有する情報を必要な範囲に絞るという考え方になります。資料は、AIで脆弱性の発見から攻撃までの時間が短くなり、未知の脆弱性が使われる可能性もあることから、「個人情報を必要以上に保有しないといった被害の規模を抑える対応も必要」としています。

個人情報保護委員会は10月7日、事業者に向けて、保有する個人データが本当に必要かを確かめ、不要なデータを消すよう注意喚起しました。個人データを使う必要がなくなったときは、遅滞なく消去するよう努めなければならないとされていることが理由です。あわせて、本人確認のために取得した画像などの保存期間・保存方法の基本ルールについて、令和8年度中に業種ごとの注意喚起等を検討するとしています。安全管理措置ガイドラインの全項目の「手法の例示」の改正も加速し、令和9年1月中の施行を目指す計画です。別紙には、報告された漏えい等を同委員会が調査し、問題があれば指導・助言などの監視・監督権限を使うという項目もあります。

運転免許証の画像からICチップの読み取りへ

本人確認については、運転免許証の画像による確認に国民が不安を感じているとして、マイナンバーカード等のICチップを読み取る方法の利用場面を広げる方針です。会員登録や契約の手続きで免許証の画像を受け取っている会社は、保存期間と保存場所を今のうちに確かめておきましょう。

棚卸しで見ておきたい場所

実際の棚卸しでは、次のような場所に個人データがたまりがちになります。

• 本人確認のために受け取った運転免許証などの画像
• 問い合わせフォームの送信履歴と、その通知メール
• メール配信先のリストや、退会した会員のデータ
• 採用に応募してきた方の履歴書のデータ
• バックアップや、テスト環境に複製した本番のデータ
• 社員が個人で契約しているクラウドストレージやAIサービスに入れたファイル

消す前には、法令や業務で保存が決まっているものと、事故の調査に残すべきものを分けて確かめてください。見落とされやすいのは最後の、社員が個人のアカウントで使っているサービスでしょう。顧客の名簿や社内資料を個人契約のAIに貼り付けて要約させると、その内容は会社の管理の外に置かれ、何がどこにあるのかを会社が把握できなくなってしまいます。情報を必要な範囲に絞るなら、まず業務で使う経路を会社が把握できる形にそろえることが先になります。

政府側で新しくできる体制｜トップガン・救援隊（仮称）・FFF（仮称）

柱1と柱3には、政府が攻撃者より先に動くための新しいチームがいくつも並んでいます。名前に（仮称）が付いているものは、まだ正式な名称が決まっていない段階です。

IPAのトップガン人材チーム（11月中）

IPA（情報処理推進機構）に、高性能AIの活用環境を整えて模擬的な攻撃テスト（ペネトレーションテスト）を実施するチームを、11月中に立ち上げるとしています。同チームは、民間企業を支援するセキュリティ企業に向けて、人材育成やAIを使った検証環境の提供、ツールの開発・提供にも取り組むとされ、こちらの担当は経済産業省になります。政府システムでもAIによる脆弱性診断を前倒しし、ガバメントクラウドを使うシステムには令和9年度中までに高性能AIでのソースコード検査を求める方針です。

アウトリーチ・チーム（仮称）

国家サイバー統括室から、被害のおそれがある組織に能動的に接触するチームで、11月中に新設するとしています。不審な動きや対策状況の確認、助言、脅威ハンティングの調整を担う役割です。

官民サイバー救援隊（仮称）

被害組織から支援の要請があり、必要性や緊急性などが特に認められる場合に、官民の専門人材を機動的に送り込んで初動対応を支える仕組みになります。事務局は令和8年度中の早期に国家サイバー統括室内に置かれる予定です。要請すれば誰でも来てもらえる仕組みではなく、条件が付いている点は覚えておいてください。重大な危害があり安全保障や社会経済に大きな影響が出る事案には、被害組織の同意を得て派遣するジョイント・レスポンス・チーム（仮称）も、令和8年度中の早期に運用を始めるとされています。

ファスト・フォレンジック・フォース（仮称）

警察には、事案が起きたときにログの保全や早急な原因究明などの初期対応を担うファスト・フォレンジック・フォース（FFF・仮称）を、警察庁や管区警察局等に速やかに立ち上げる方針です。ログは原因を調べる手掛かりになるため、被害に気づいても慌てて端末を初期化したりデータを消したりせず、そのまま残して相談するのが基本となります。

脅威ハンティングとテイクダウン

脅威ハンティングとは、すでに入り込んでいる攻撃者の痕跡を、こちらから探しに行く取り組みのことです。政府主導で影響の大きい事業者などに働き掛け、年内を目途にサイバー協議会を通じてマニュアルや検知ツールを提供するとしています。攻撃の基盤に対しては、アクセス・無害化措置を含むあらゆる手段を戦略的に選んで実行し、攻撃に使われるインフラのテイクダウンにも取り組む方針です。攻撃の踏み台として悪用される国内の機器への対策も、年内に取りまとめる予定となっています。社内のルーターやネットワーク機器の管理画面が初期設定のパスワードのままになっていないか、この機会に見直してみてください。

情報を集める仕組み｜被害事業者からの情報集約・A2B攻撃・SCS評価制度

柱2は、攻撃の情報を早く集めて、捜査と分析に生かすための体制づくりです。令和8年10月に発足したサイバー協議会への参加と連携の強化を、セキュリティベンダやISMAP登録のクラウド事業者に働き掛けるとしています。海外の大手デジタル企業やフロンティアAI企業などとも協力し、攻撃の関連情報や公表前の脆弱性情報を早く手に入れる狙いがあります。

被害事業者からの情報集約

個人情報の漏えいなど重大な被害が出ている事案では、関係省庁が被害を受けた事業者から迅速に情報を集め、国家サイバー統括室に報告するとされています。警察・内閣官房・所管省庁が連携して、企業から通報やログ等の証拠の提供が得られるよう必要な要請をしていく方針も示されました。いざというときに慌てないよう、ログの保存期間や取り出し方を委託先も含めて確かめておきましょう。

NICTが特定したA2B攻撃

NICT（情報通信研究機構）が特定した「A2B攻撃」は、一般に公開されているアプリを解析し、その情報を悪用してアプリの接続先であるバックエンドサーバを攻撃する手法になります。資料は、これを国内で相次ぐ情報漏えい事案の原因の一つとしています。そのうえで、このNICTの分析能力をサイバー対処能力強化法の枠組みも活用して強化し、国家サイバー統括室や関係機関と連携しながら、政府全体の分析能力を令和8年度内に高める計画です。スマートフォン向けのアプリを外注して公開している会社は、接続先のサーバーの守りがアプリの解析を前提にしたものになっているか、委託先に確かめてみてください。NICTでは、AIエージェントによる攻撃も安全に再現・観測・分析できる環境「STARDUST BD」の構築にも着手するとのことです。IPAも、AIを活用したサイバー攻撃から中小企業を守るため、サプライチェーン企業が参加する攻撃観測網を導入して24時間365日監視する実証事業を、令和9年始めを目途に開始するとしています。

SCS評価制度（令和9年3月頃運用開始）

SCS評価制度は、サプライチェーン強化に向けたセキュリティ対策の評価制度で、令和9年3月頃に運用が始まる予定です。大企業が委託先を管理する手法として推奨されていて、運用開始後は、「★」を取得した企業が攻撃を受けた場合に、国家サイバー統括室がその企業に関係情報を求めることが出来る仕組みを導入するとしています。大企業と取引がある会社は、制度の位置づけだけでも今のうちに知っておくと話が早いでしょう。

自治体と通信事業者への施策｜地方公共団体への3つの要請とアクセス抑止策

自治体や通信事業者向けの施策は、会社の義務ではありませんが、自社の点検の手本として読むことが出来ます。

地方公共団体への3つの要請

総務省は地方公共団体に、次の3点を要請しています。

1. 委託先が提供するものを含む全てのウェブシステム等とそのセキュリティ対策を把握する
2. 多要素認証の導入や保有情報の最小化など、基本的な脆弱性対応を徹底する
3. AIを活用した脆弱性診断を実施し、対策が終わるまでは一時的なサービスの停止も検討する

3つ目は「停止を検討」であって、停止を決めたわけではない点に注意が必要になります。あわせて、全団体を支える「自治体サイバーセキュリティサポートチーム」を構築するとしています。多要素認証とは、パスワードに加えてスマートフォンの確認コードなど別の要素でも本人を確かめる仕組みのことで、会社でも管理画面やクラウドの管理者アカウントから入れておきたいところです。

通信事業者によるアクセス抑止策は検討の段階

報道では「ブロッキング」という言葉が使われていますが、決定文書にこの語はありません。資料にあるのは、柱4の二次被害を防ぐ項目の中の「通信事業者によるアクセス抑止策の在り方について法的課題を含め早急に検討する」という一文で、別紙での担当は総務省とされています。対象や方式、強制力の有無は書かれておらず、決まったのは検討することまでです。自社から漏れた情報がこれで止まるという話ではないため、会社の備えは変わらないと考えてください。

通信分野の中小事業者に向けては、IT資産の把握・更新、脆弱性診断、暗号化・多要素認証の実装を支援するガイドラインの策定なども並んでいます。金融機関に対しては、金融庁が5月22日の要請文にある短期的な対応と、多層防御やインシデント発生時の備えなど基本的な対策の着実な実施を促すとしています。

被害を受けたときの連絡先と順番｜今使える窓口とこれから整う窓口

被害に気づいたときの連絡先は、今すでに使える窓口と、これから整う（仮称）の窓口を分けて覚えておくのが確実です。資料自身も、被害に遭った個人や企業が「何が起きたのか、どこに相談し何から手を付ければよいのかが分からず、孤立したまま対応を迫られている状況」にあると書いています。

被害に気づいたら、この順番で動く

1. 端末やサーバーを初期化せず、ログを残したまま社内の責任者に報告する
2. 保守・委託先に連絡し、どのシステムで何が起きているかを確かめる
3. 警察の相談窓口に相談・通報する
4. 個人データが漏れた、または漏れたおそれがあれば、個人情報保護委員会への報告を準備する（不正アクセスによるものは人数に関係なく対象。速報は発覚日から3〜5日以内）
5. IPAの特別相談窓口や地域のよろず支援拠点などの無料相談で、次に何をするかを相談する
6. お助け隊サービスを契約していれば、その事業者に初動対応を頼む

1と2は、警察のFFF（仮称）がログの保全を担う予定であることを考えても、社内で真っ先に押さえたいところになります。不正アクセスなど不正の目的によるおそれがある漏えい等は、そのおそれの段階でも個人情報保護委員会への報告の対象となり、速報は発覚日から3〜5日以内、確報は60日以内と、個人情報保護委員会の漏えい等の対応のページに示されています。連絡先の一覧は紙にも印刷し、社内のパソコンが使えなくなっても見られるようにしておくと安心できます。

お助け隊サービスに復旧・バックアップを追加

サイバーセキュリティお助け隊サービスは、一定の基準を満たした専門事業者が、現場で初動対応を支援する中小企業向けのサービスです。これまでの異常監視、初動対応支援、保険などに加えて、被害発生時の診断、定期バックアップと復旧支援、定期脆弱性診断等のメニューを追加するとされています。柱3で「中小企業等がサイバー攻撃被害にあった場合」として挙げられているのは、このお助け隊の拡充になります。資料には「速やかに」拡充するとあるだけで、具体的な開始日や料金は書かれていないため、契約を考える際は提供事業者に確かめてみてください。

顧客から問い合わせを受けたときの案内先

顧客の個人情報が漏れた場合、顧客から問い合わせを受けることも考えられます。個人向けには消費生活センター（188）が総合的な入口とされ、官邸ホームページでも相談窓口の案内が始まりました。警察は詐欺電話を遮断する警察庁推奨アプリの普及を進め、不審な電話は警察相談専用電話の#9110で受け付けています。全国約6万人のデジタル推進委員もセキュリティの研修を受け、デジタルに不慣れな方を支える予定です。個人向けの注意喚起動画も11月中を目途に公表されるので、顧客へのお知らせを作るときに案内先として添えることが出来ます。

施策の時期の一覧｜稼働中・11月中・年内・令和8年度中・2027年

パッケージの施策は始まる時期がばらばらなので、時期の順に並べ直しておきます。

※令和8年は2026年、令和9年は2027年です。令和8年度は2026年4月から2027年3月まで、令和9年度は2027年4月から2028年3月までです。日付だけの行は2026年です。

表のうち、会社がすぐに使えるのは設置済みの相談窓口と、すでにあるお助け隊サービスになります。（仮称）や「検討」と書かれた施策は、名称や中身がこれから変わる可能性がある点にも気をつけましょう。

自社の対応表｜今週・今月・年内にやること

ここで、施策ごとに自社に何が関わるかと、今週・今月・年内にやることを1つの表にまとめます。原文が義務なのか、要請なのか、注意喚起なのかも並べたので、社内で説明するときの材料にしてみてください。

今週の列は、新しい製品を買わずに始められるものを中心に並べています。迷ったときは、連絡先の一覧づくりと委託先との契約の確認、この2つから始めるのがおすすめになります。

税理士・商工団体を通じた周知と説明・相談会

相談窓口や支援策の情報は、商工団体・金融機関・税理士等の支援機関を通じて、会社にプッシュ型で届けられています。年内からは、各経済産業局とIPAが、税理士会・商工団体・都道府県警察と連携して説明・相談会を開く予定です。顧問の税理士から案内が届いたら、経営者だけでなく総務や情シスの担当者も一緒に参加してみてください。

税理士事務所や会計事務所の側から見ると、顧問先に伝える立場であると同時に、多くの顧客の財務データを預かる委託先でもあります。自分たちの事務所の対策を説明できるようにしておくことが、顧問先からの信頼にもつながるでしょう。

会社としてAIを安全に使うために見直したい経路

柱1の名前が「AIも活用した基本的な対策の徹底」となっているとおり、パッケージはAIを守りの道具としても使う前提に立っています。攻撃側もAIで隙を短時間かつ大規模に突いてくる以上、社内で使うAIそのものの扱いも、基本的な対策の一部として見直しておきたいところです。なお、パッケージ自体は生成AIの社内利用について具体的な要求をしているわけではありません。それでも「保有する情報を必要な範囲に絞る」「発注者・委託先・経営層それぞれが責任を持ち」という考え方は、社員のAI利用にもそのまま当てはめることが出来ます。

個人契約のAIに情報を入れる経路をそのままにしない

社員が自分で契約したAIサービスに、顧客の情報や社内の資料、システムの設定ファイルを貼り付けている状態は、会社が把握できない場所に情報が置かれているのと同じになります。会社が知らないところで使われるこうしたAIは、野良AI（シャドーAI）と呼ばれています。退職した社員のアカウントに会話の履歴が残ることもあり、情報がどこにあるのかさえ分からなくなってしまいます。AIでサイトの設定や脆弱性を調べてみる場合も、ソースコードやログ、パスワード類を個人アカウントのAIには貼らないようにしましょう。

会社が管理できる環境にまとめる

現実的なのは、禁止するよりも、会社として契約した環境に利用をまとめる方法でしょう。入力した内容をAIの学習に使わせない設定を会社側でそろえ、誰がいつ使ったかの利用ログを会社が見られる状態にしておけば、発注者・経営層として説明がつくようになります。あわせて、入力してよい情報と入れてはいけない情報を社内ルールで決めておくことも欠かせません。ルールの作り方は生成AIの社内ガイドラインの作り方、点検の項目は生成AIのセキュリティ対策チェックリストで詳しく紹介しているので、自社の状況と照らし合わせてみてください。

よくある質問

まとめ

サイバーセキュリティ緊急対策パッケージは、2026年11月6日に決まった、4つの柱からなる政府のサイバー対策の取りまとめです。中小企業に新しい法的な義務を課すものではありませんが、基本的な対策の徹底と、保有する情報を必要な範囲に絞ることを、発注者・委託先・経営層それぞれに呼び掛けています。会社として今週やりたいのは、相談先の一覧づくりと、脆弱性の対応を誰がするのかを委託先に確かめることになります。今月は、個人データの棚卸しと多要素認証、社員のAI利用の経路の見直しまで進めておきたいところです。（仮称）の窓口や「検討」の施策はこれから中身が変わるため、内閣官房の資料や支援機関からの案内を折に触れて確かめてみてください。

法人のAI活用の記事はAI活用コラム一覧からご覧いただけます。