能動的サイバー防御時代の現場問題点

山崎行政書士事務所のクラウド法務・Azure技術支援としての見解

1. 結論

私は、能動的サイバー防御を「国が攻撃元を無害化してくれる制度」とは見ていません。現場のエンジニアとして見ると、本質はもっと泥臭いです。

国が動く前に、企業側が攻撃の兆しを検知し、ログを保全し、AIやSOCの判断を検証し、通信情報をマスキングし、委託先・海外子会社・クラウド基盤まで含めて説明できるか。

ここが勝負です。

制度としては、サイバー対処能力強化法と同整備法が2025年5月16日に成立し、同年5月23日に公布されています。基本方針の概要では、官民連携、通信情報の利用、特定重要電子計算機の届出義務、特定侵害事象等の報告義務、協議会の枠組みなどが整理されています。さらに、公式スケジュールでは「官民連携」と「アクセス・無害化措置」に係る制度施行は2026年10月1日想定、通信情報の利用部分は2027年11月までの制度施行とされています。

つまり、2026年10月から始まるのは「国の強い措置」だけではありません。企業側には、予兆検知・報告判断・ログ提出・マスキング・委託先管理・取締役会説明という実務負荷が一気に来ます。

2. 私が最初に潰すべきだと見る誤解

一番危ない誤解は、これです。

「能動的サイバー防御が始まれば、国が何とかしてくれる」

違います。

国が攻撃元へアクセス・無害化措置を行う局面は、かなり限定的で、厳格な手続の下で行われるものです。企業が勝手に攻撃元へ侵入してよいわけではありません。民間企業の役割は、自社環境、クラウド環境、委託先環境、海外子会社環境の中で、攻撃の兆候を検知し、被害を封じ込め、証跡を残し、政府・所管省庁・顧客・取引先へ説明できる状態を作ることです。

国家サイバー統括室は、行政各部の情報システムに対する不正活動の監視・分析、重大事象の原因究明調査、監査、サイバーセキュリティ施策の企画・立案・総合調整を担う組織として説明されています。国の司令塔機能は強化されていますが、2025年12月23日のサイバーセキュリティ戦略も、国だけで実現できるものではなく、多様な主体の連携が必要だと明記しています。

現場の言葉に直すと、こうです。

国は動く。しかし、ログがない会社、委託契約が弱い会社、Azure権限が棚卸しされていない会社、SOC任せの会社は、国に渡す材料すら作れない。

3. 現場エンジニアから見た問題点の洗い出し

問題点1：予兆を「ノイズ」として捨てる運用

現場では、アラートの9割近くが軽微に見えることがあります。ポートスキャン、ログイン失敗、フィッシングメール、外部公開資産の探索、漏えい認証情報の検出、ダークウェブ上の社名言及、委託先ドメインの悪用兆候。単体で見ると、すぐに事業停止につながるものではありません。

しかし、攻撃者は点ではなく線で動きます。

最初はスキャン。次に認証情報収集。次にフィッシング。次に委託先IDの侵害。次にVPNやクラウドへのログイン。次に横展開。最後に暗号化、破壊、情報窃取。

AIやSOCがレベル1、レベル2として整理したアラートを、そのまま捨ててはいけません。私なら、低レベル予兆を必ず保存し、同一IP、同一ドメイン、同一攻撃者インフラ、同一委託先、同一海外子会社との相関を見る仕組みにします。

山崎行政書士事務所としての見解は明確です。

予兆を捨てるなら、捨てた理由を残す。後から攻撃が成立したとき、なぜ見逃したのかを説明できる状態にする。

問題点2：AI分類を信じすぎる

AIでアラートを4段階に分類する運用は合理的です。人間だけで全アラートを確認するのは無理です。

ただし、AI分類には必ず限界があります。

AIが低リスクと判定する。人間が見ない。同じ攻撃者が別経路で動く。数日後に侵入が成立する。後から見ると、最初の低リスクアラートが入口だった。

これは普通に起きます。

私なら、AI分類に対して次を求めます。

AIが何を根拠にレベル判定したか。使用したログの範囲はどこまでか。過去アラートとの相関を見たか。人間レビューの条件は何か。重大インシデント後に、低レベルアラートを再点検する運用があるか。AIの誤判定率を月次でレビューしているか。

AIは便利です。しかし、AIが低リスクと判定したから報告しなかったでは、政府報告・監査・取締役会説明には耐えません。

問題点3：政府報告の判断者が決まっていない

能動的サイバー防御の時代に一番揉めるのは、被害確定後ではありません。侵害疑い・予兆段階で報告するかどうかです。

現場ではこうなります。

情シスは「まだ確証がない」と言う。SOCは「早めに上げた方がよい」と言う。法務は「報告義務の対象か確認したい」と言う。事業部は「騒ぎにしたくない」と言う。経営層は「報告すると当局対応が始まるのか」と不安になる。委託先は「調査中」と言う。

この状態で会議を始める会社は遅いです。

基本方針の概要では、特定重要電子計算機の届出義務や特定侵害事象等の報告義務が制度として位置づけられています。ここで必要になるのは、被害確定後の報告書ではなく、予兆・侵害疑い段階での判断フローです。

私なら、次の区分を事前に作ります。

確定侵害。侵害疑い。重要システムへの不審アクセス。認証情報流出。委託先経由の侵害疑い。海外子会社経由の侵害疑い。個人情報漏えい可能性。重要インフラ機能停止のおそれ。政府報告候補事象。

山崎行政書士事務所としては、ここを政府報告判断フロー、事実整理様式、取締役会報告テンプレートとして整備するべきだと考えます。

問題点4：通信情報を出せる形にしていない

通信情報は非常に扱いが難しいです。

SOCログ、プロキシログ、DNSログ、メールログ、Entra IDログ、クラウド操作ログには、個人情報、顧客名、社員ID、メールアドレス、取引先名、業務システム名、通信先、端末名、IPアドレスが混ざります。

攻撃検知に必要だからといって、全部をそのまま出すのは危険です。一方で、通信の秘密や個人情報を理由に何も出せない運用も、実務では成り立ちません。

基本方針の概要でも、通信の秘密の尊重や通信情報の適正な取扱い、安全管理措置が明確に項目化されています。これは単なる理念ではなく、現場ではログ提出・マスキング・共有記録の設計になります。

私なら、通信情報について以下を事前に決めます。

IPアドレスは出すか。メールアドレスはハッシュ化するか。社員IDは伏せるか。顧客名は匿名化するか。取引先名は一般化するか。システム名はコード化するか。パケット内容ではなくメタデータだけ出すか。ログ全文ではなく該当行だけ出すか。提出前に法務確認を必須にするか。提出記録をどこに保存するか。

山崎行政書士事務所の見解は、ここです。

通信情報は、出すか出さないかではない。出せる形に加工し、後から説明できる記録を残すことがクラウド法務である。

問題点5：SOC・MSSP任せで自社が説明できない

監視拠点やCTIサービスを使うこと自体は正しいです。ダークウェブ、攻撃者インフラ、RaaS、漏えい認証情報、海外拠点の兆候を人間だけで追うのは無理です。

問題は、委託先に任せた結果、自社が説明できなくなることです。

SOCがレベル3と判断した。なぜレベル3なのか、自社は説明できない。AIが報告書を作った。どのログを根拠にしたのか分からない。委託先が「攻撃兆候あり」と言う。自社のAzureログでは確認できない。政府報告に使った情報の一部が、海外拠点で処理されていた。顧客名が含まれたまま外部共有されていた。

これは危険です。

SOC・MSSP契約では、最低限、次を契約・SOWに入れるべきです。

アラート分類基準。重大アラートの通知期限。AI利用の有無。ログの保存期間。ログの国外処理有無。再委託先。政府報告支援の範囲。証跡提出義務。誤検知・見逃し時の責任分界。契約終了時のログ削除。監査協力。マスキング義務。

世界トップレベルのエンジニア視点で言えば、SOCを入れたかどうかは重要ではありません。SOCの判断を、自社の証跡として説明できるかが重要です。

問題点6：Azureログが「あるつもり」になっている

Azure環境で最も危ないのは、ログを取っているつもりの会社です。

Entra IDログはある。でも保存期間が短い。Azure Activityログはある。でもLog Analyticsに集約していない。Key Vaultログは有効化していない。Storageアクセスログがない。WAFログが見られない。Sentinelに必要なログが入っていない。PIM昇格ログを監査していない。サービスプリンシパルの操作が追えない。委託先アカウントの操作と作業チケットが紐づいていない。

攻撃後に必ず聞かれます。

「いつ入られましたか」「どのIDが使われましたか」「どの端末からですか」「どのデータに触られましたか」「委託先の操作ですか」「悪用有無を確認できますか」

ログがなければ、答えは「確認できません」です。

これは正直ですが、経営・顧客・監査には重い回答です。

山崎行政書士事務所としては、Azure環境では最低限、次のログ設計書を作るべきです。

Entra IDサインインログ。Entra監査ログ。Azure Activityログ。Key Vaultログ。Storageログ。WAFログ。Defenderアラート。Sentinelインシデント。PIM昇格ログ。サービスプリンシパル操作ログ。委託先操作ログ。Microsoft 365監査ログ。Teams・SharePoint外部共有ログ。

ここまで整えて初めて、能動的サイバー防御時代の報告に耐えます。

問題点7：海外子会社・委託先が穴になる

本社だけ堅牢でも意味がありません。

攻撃者は、弱いところから入ります。

海外子会社。物流拠点。地方拠点。販売子会社。工場。保守委託先。クラウド運用会社。SaaS管理者。VPN管理者。再委託先。

現場ではこうなります。

本社はMFA必須。海外子会社はパスワードのみ。本社はEDRあり。物流拠点は対象外。本社はSentinel監視。委託先操作は監視外。本社はログ90日保存。海外拠点は7日で消える。本社はPIM利用。委託先は常時管理者。

これで攻撃された場合、本社は「委託先が原因です」と言いたくなります。しかし、経営責任としては、自社サプライチェーンの統制不備です。

2025年12月23日のサイバーセキュリティ戦略は、重要インフラ事業者や地方公共団体だけでなく、サイバー関連事業者、ベンダー、中小企業、個人を含む幅広い主体に対策と実効性確保を求める方向を示しています。サプライチェーン全体の弱点を見なければ、防御にはなりません。

山崎行政書士事務所としては、海外子会社・委託先・再委託先を含むクラウド責任分界表を必ず作るべきだと考えます。

問題点8：AI報告書の責任者がいない

生成AIで政府報告やインシデント報告書の下書きを作る流れは避けられません。便利だからです。

しかし、AI報告書には危険があります。

事実と推測を混ぜる。ログにないことを書く。攻撃者名を断定する。被害範囲を広く書きすぎる。逆に重大性を低く見積もる。顧客名をマスキングし忘れる。委託先責任を誤記する。根拠ログがない。誰が確認したか分からない。

私は、AI報告書には必ず以下を入れます。

AI生成日時。利用したログ範囲。参照した情報。人間レビュー者。修正履歴。事実・推測・評価の区別。未確認事項。マスキング済み項目。社内版・当局提出版・顧客説明版の区別。最終責任者。

山崎行政書士事務所の見解は、明確です。

AIで報告書を作ってもよい。ただし、AIの文章に責任を持つ人間と、根拠ログへのトレーサビリティがなければ、報告書ではなく作文である。

問題点9：24時間365日監視と、24時間365日判断を混同している

監視は外注できます。判断は外注しきれません。

深夜2時に重大アラートが出る。SOCが通知する。情シス担当が見る。本番を止めるか。アカウントを無効化するか。ネットワークを遮断するか。委託先を呼ぶか。政府報告候補に上げるか。経営層を起こすか。

ここで必要なのは、監視体制ではなく、判断体制です。

私なら、次を明確にします。

夜間一次判断者。業務停止承認者。本番遮断承認者。顧客影響判断者。政府報告候補判断者。法務確認者。委託先連絡者。広報確認者。取締役会報告基準。

これがない会社は、24時間365日監視契約があっても、実際には止まります。

問題点10：経営層が「予兆」を経営情報として見ていない

経営層に技術アラート一覧を出しても意味がありません。見るべきは、経営判断に変換された予兆です。

私は、取締役会・経営会議向けには、次を出すべきだと考えます。

重大予兆件数。委託先経由の予兆件数。海外子会社経由の予兆件数。未対応の外部公開資産。認証情報流出件数。重大アラートから初動までの時間。政府報告候補件数。ログ不足で判断不能だった件数。例外承認中のリスク。復旧訓練未実施の重要システム。委託先SLA未整備件数。

これが経営資料です。

山崎行政書士事務所としては、技術チームが持っているログやSOCレポートを、経営層が投資判断できる資料に翻訳する必要があります。

山崎行政書士事務所としての見解

1. 能動的サイバー防御対応は、法令対応ではなく運用設計である

私は、この制度対応を「法律ができたから規程を直す」レベルで考えてはいけないと見ています。

必要なのは、次の一体設計です。

Azureログ。SOC分析。AI分類。通信情報マスキング。政府報告判断。委託先契約。海外子会社統制。取締役会報告。インシデント初動。BCP・復旧訓練。

行政書士としては、契約、規程、責任分界表、事実証明資料、監査説明資料、報告準備資料を整備します。Azure技術支援としては、Entra ID、PIM、条件付きアクセス、Sentinel、Defender、Key Vault、Azure Policy、Log Analytics、バックアップ、委託先アカウントまで実装側を読みます。

この両方をつながなければ、制度対応は紙だけになります。

2. 私なら、まずこの10点を点検する

1. Azureログは政府報告・顧客説明に使える粒度で残っているか。

2. SOCやAIの重大度分類を、自社が説明できるか。

3. レベル1〜2の予兆を捨てる基準と保存期間があるか。

4. 政府報告候補事象を判断するフローがあるか。

5. 通信情報・ログのマスキング基準があるか。

6. 委託先・再委託先にログ提出義務があるか。

7. 海外子会社のID・ログ・MFA・SOC連携が本社基準に届いているか。

8. AI生成報告書を人間が検証する手順があるか。

9. 夜間・休日に本番遮断や経営報告を判断できるか。

10. 取締役会に、予兆・未対応リスク・投資判断を出しているか。

この10点に答えられない会社は、能動的サイバー防御時代の実務に耐えません。

3. 山崎行政書士事務所が提供すべき成果物

予兆検知・重大度分類基準

AIやSOCのレベル分類を、自社の事業影響、法令報告、政府報告、顧客影響と接続します。

政府報告判断フロー

確定侵害、侵害疑い、認証情報流出、委託先経由、重要システム影響、個人情報関与で判断できるようにします。

通信情報・ログ提供マスキング基準

IP、メールアドレス、社員ID、顧客名、取引先名、システム名、構成図をどう加工するか決めます。

SOC・MSSP責任分界表

監視、分析、通知、報告支援、証跡提出、復旧支援、政府対応支援の範囲を整理します。

Azureログ設計書

Entra ID、Sentinel、Defender、Key Vault、Azure Activity、WAF、アプリログの保存期間、閲覧権限、KQL標準を定めます。

AI報告書レビュー手順

生成AIが作った報告書の根拠確認、マスキング、事実・推測の分離、最終承認を定めます。

取締役会向けサイバー予兆レポート

技術ログではなく、経営判断に必要な重大予兆、未対応リスク、委託先リスク、復旧可能性、投資判断をまとめます。

最終評価

私は、能動的サイバー防御をこう捉えています。

国の制度が強くなるほど、民間企業には「説明できるログ」と「判断できる組織」が必要になる。

攻撃元の無害化は国の役割です。しかし、企業がやるべきことは残ります。

攻撃の兆しを見つける。AI分類を検証する。通信情報をマスキングする。委託先からログを取る。Azure上の権限を説明する。政府報告候補を判断する。経営層に予兆を報告する。顧客・取引先に説明する。復旧まで証跡を残す。

山崎行政書士事務所のクラウド法務として、私はこのテーマを次の一文で整理します。

能動的サイバー防御の時代に必要なのは、攻撃後の謝罪文ではない。攻撃の兆しを、Azureログ、SOC分析、AI分類、通信情報マスキング、委託契約、政府報告資料、取締役会レポートで説明できる会社になることだ。

これができる会社は、国の制度を防衛力に変えられます。これができない会社は、制度が始まっても、現場で迷い、報告が遅れ、被害を広げます。