2026年10月1日に施行されたサイバー対処能力強化法の関連規定では、対象となる特別社会基盤事業者が、特定重要電子計算機に関する一定のインシデントを認知した場合、政府への報告が義務付けられています。特徴は、サービス停止や情報漏えいが確定した後だけでなく、侵害の原因となり得る一定の事象も報告対象に含まれることです。迅速な報告には、インシデント対応の技術力だけでなく、「いつ認知したと扱うか」「委託先から誰へ連絡するか」「不明な項目を残したまま初報を出せるか」といった業務設計が欠かせません。本記事では、報告対象と期限、初動対応、社内ログだけでは見えない情報漏えい状況の確認方法を解説します。
サイバー対処能力強化法の全体像や制度の目的、主な義務については、「サイバー対処能力強化法とは？4つの柱と施行スケジュールをわかりやすく解説」で紹介しています。
contents
インシデント報告義務の対象
報告義務を負うのは特別社会基盤事業者です。報告対象は、特定重要電子計算機に係る「特定侵害事象」と、その原因となり得る事象として主務省令で定めるものです*1。特定侵害事象とは、マルウェアに関する不正な指令、不正アクセス、電子計算機を用いた業務妨害などの「特定不正行為」により、重要電子計算機のサイバーセキュリティが害されることを指します。また、主務省令では、実際に侵害が確認された事象だけでなく、侵害の痕跡が記録された場合など、特定侵害事象の原因となり得る事象も報告対象として定めています。
つまり、判断の軸は「会社でサイバー攻撃があったか」だけではありません。対象となる特定重要電子計算機で、法令が定める行為や痕跡が認知されたかを確認します。ファイアウォールが単に大量の通信を遮断した場合や、ダークWeb上に自社情報が見つかった場合が、常にそのまま法定報告対象になるわけではありません。
報告義務の対象となる特別社会基盤事業者や特定重要電子計算機の範囲、届出義務については、「サイバー対処能力強化法の対象企業とは？特別社会基盤事業者と届出義務を解説」で詳しく紹介しています。
アラートが出ただけでも報告が必要なのか
すべてのアラートが報告対象になるわけではありません。アラートの対象資産、検知内容、実行の有無、侵害の痕跡、法令上の除外規定を照合する必要があります。一方で、セキュリティ製品が攻撃を防いだ場合でも、報告対象となる事象が発生していないとは限りません。例えば、特定重要電子計算機でマルウェアが動作し、EDRが即座に隔離・削除した場合でも、検知内容や実際に発生した事象によっては報告対象となる可能性があります。防御の成否だけで判断せず、対象機器や検知内容、侵害の痕跡などを確認することが重要です。
報告要否の判断表には、資産の区分、検知した行為、実行・侵害の状況、痕跡、認知時刻、判断者、根拠資料を残しておくとよいでしょう。個別案件については、法令や公表されている制度解説を確認し、必要に応じて所管省庁や専門家に相談することが重要です*2。
「認知した時」を委託先任せにしない
インシデントを最初に見つけるのは、自社のSOCとは限りません。クラウド事業者、回線事業者、システム運用会社、共同利用組織が先に認知する場合があります。対象事業者への通知が遅れれば、報告判断の着手も遅れます。委託先が管理する特定重要電子計算機や、クラウドで構成する特定重要電子計算機が侵害された場合も、報告対象になり得ます。特別社会基盤事業者は、委託先から通知を受け、必要な情報を共有してもらったうえで報告します。
契約上の「重大事故が確定したら連絡する」という条件では遅すぎる可能性があるため、疑い段階の連絡条件も検討すべきです。委託先での検知時刻、対象事業者への通知時刻、対象事業者が事象を認知した時刻をそれぞれ記録し、報告期限の起算点を確認できるようにしておくことが重要です*3。
速報と詳報の報告期限
内閣府ほかが定める「特別社会基盤事業者による特定侵害事象等の報告等に関する命令」では、特定侵害事象等の発生を認知した後、速やかに報告し、さらに認知した日から30日以内に報告する二段階の手続を定めています。「特定重要電子計算機の届出及び特定侵害事象等の報告に関する制度の解説」では、前者を「速報」、後者を「詳報」と呼んでいます。速報については、攻撃類型に応じた報告時期の目安が示されています。ただし、法令上は特定侵害事象等の発生を認知した後、「速やかに」報告することが求められます。被害の全容や侵入経路が判明するまで報告を待つのではなく、認知した時点で把握している情報を整理し、速やかに報告手続を進めることが重要です。
速報時点ですべてを確定する必要はありません。主務省令上、技術的事項や対応状況などは、その時点で認知している範囲を報告します。制度の解説でも、報告事項が未把握・未確定の場合には、報告時点で把握している範囲を記載し、続報で訂正・補足する考え方が示されています。
DDoS、ランサムウェア、不正アクセスの報告
サイバー攻撃に関する報告手続では、被害組織の負担軽減と政府の対応迅速化を目的として、国家サイバー統括室が案内する「サイバー攻撃時の報告様式の統一について」に基づき、共通報告様式が整備されています。DDoS攻撃やランサムウェアなど、攻撃類型に応じた様式が用意されており、報告にあたっては最新の様式や提出方法を確認する必要があります。攻撃類型が速報時点で判明していない場合もあります。その場合は、攻撃手法の特定を待つのではなく、現時点で把握している事実と未確定事項を区別し、報告を進めることが重要です。その後の調査で新たに判明した情報については、続報や詳報で補足します。
報告に必要な情報を初動から残す
報告事項には、事象の概要、発生した特定重要電子計算機、技術的事項、対応状況などが含まれます。内閣府ほかの「特定重要電子計算機の届出及び特定侵害事象等の報告に関する制度の解説」では、攻撃元・攻撃先のIPアドレスやポート、URL、ドメイン、マルウェアのハッシュ値、悪用された脆弱性、対象機器やソフトウェアの名称・バージョン、システム構成図、攻撃の時系列、フォレンジック結果などを、脅威分析に役立つ情報として挙げています。
そのため初動では、被害拡大を止めながら、ログや端末、クラウド監査情報を不用意に失わないことが重要です。隔離、認証情報の無効化、通信遮断などの措置を行う際も、誰が、いつ、何を根拠に実施したかを記録します。法務・広報・経営への連絡と、技術チームの証拠保全を並行させる体制が必要です。
他法令・業法の報告と混同しない
サイバー対処能力強化法に基づく報告を行えば、すべての報告義務が完了するとは限りません。業法に基づく事故報告、個人情報保護法上の漏えい等報告、取引先への契約上の通知、警察への相談などは、別の要件と期限で動きます。同じインシデントについて複数の報告が必要になり得るため、法令ごとに別々の担当者が動くと、認知時刻や被害範囲の記載が食い違うおそれがあります。インシデント台帳を一元管理し、報告先ごとの義務や期限、提出方法、記載事項の違いを整理しておくことが重要です。
社内ログだけでは情報流出の行方が見えない
社内ログや端末調査は、侵入経路、実行された操作、持ち出された可能性のあるデータを調べるために不可欠です。しかし、窃取された認証情報や機密情報が、すでにダークWebで公開・取引されているかは、内部の記録だけでは確認できない場合があります。
外部脅威情報は、内部調査を置き換えるものではありません。両方を突き合わせることで、攻撃者が保有していると主張する情報、公開されているアカウント情報、対象となった時期など、対応方針を検討する材料を増やせます。ただし、ダークWebで情報が見つからないことは、情報漏えいがなかった証明にはなりません。
ダークWeb調査で被害状況と影響範囲の把握を補完する
ブロードバンドセキュリティ（BBSec）の「サイバー脅威情報調査」は、指定したキーワードを起点に、ダークWeb上の情報を調査・分析します。機密情報や顧客情報の公開、自社ドメインのメールアドレスやパスワードの流通状況などを調べ、スポット調査では現時点に加えて過去基本1年間に遡ります。調査の目的は、法定報告の代行や報告要否の法的判断ではありません。また、侵入経路や流出データの全量をフォレンジックで確定するサービスでもありません。社内調査だけでは見えにくい外部の公開・取引情報を確認し、情報漏えいの可能性や影響範囲を検討するための材料を補完します。
まとめ
サイバー対処能力強化法に基づくインシデント報告では、被害の全容が確定する前でも、報告対象となる事象を認知した場合には速やかな対応が求められます。企業は、報告対象の判定基準や認知時刻の記録、委託先からの通知体制、証拠保全の手順を平時から整えておくことが重要です。また、インシデント発生時には、内部ログや端末・クラウドの調査に加え、必要に応じて外部脅威情報も活用することで、被害状況や影響範囲の把握を補完できます。報告義務への対応と並行して、被害拡大の防止や復旧に向けた体制も整備しておきましょう。
よくある質問
▼ 報告期限は72時間ですか【参考情報】
- e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律」（令和7年法律第42号）https://laws.e-gov.go.jp/law/507AC0000000042
- 内閣府ほか「重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令」（2026年5月28日公布）https://www.cao.go.jp/cybersecurity/pdf/meirei.pdf
- 内閣府ほか「サイバー対処能力強化法に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する制度の解説（特定重要電子計算機の届出及び特定侵害事象等の報告）」（2026年10月1日）https://www.cao.go.jp/cybersecurity/pdf/cyber_kaisetsu_202610.pdf
- 国家サイバー統括室「官民連携関連 ― サイバー攻撃時の報告様式の統一について」https://www.cyber.go.jp/policy/group/cyber/policy.html
編集責任：木下
BBSecのセキュリティ対策支援サービス
BBSecでは、Webアプリケーション診断、プラットフォーム診断、クラウド環境診断、脆弱性管理支援など、企業のセキュリティリスクを可視化する各種サービスを提供しています。ダークWeb上の調査に加え、被害を受けたシステムの状況把握、防御、事後対策まで支援が必要な場合は、BBSecの「緊急対応支援」へご相談ください。突然の大規模攻撃や情報漏えいの懸念が生じた際に、セキュリティの専門家が技術面から対応を支援します。
サイバーインシデント緊急対応
ウェビナー開催のお知らせ
最新情報はこちら
