政府は2026年11月6日、サイバーセキュリティに関する関係閣僚会議で、「サイバーセキュリティ緊急対策パッケージ」を決定しました。中小企業に特に直接関わるのは、被害に遭ったときの支援の拡充と、大企業が委託先に求める管理の制度です。
相次ぐ不正アクセスと情報漏洩を受けた対策で、政府・自治体・企業を問わず基本的な対策を当たり前に講じることと、保有する情報を必要な範囲に絞ることを求めています。
今回の施策のうち、無料の相談窓口は設置済みです。民間事業者が提供する中小企業向けの支援サービス「お助け隊サービス」の追加メニューや、警察の専用窓口は時期が示された段階で、取引先管理の制度は2027年3月の開始が示されています。
本記事では、4本柱の概要と、中小企業に関わる施策を、始まっているものと時期が示されたものに分けて解説します。
【本記事の要点】
- 政府は2026年11月6日、4本柱からなるサイバーセキュリティ緊急対策パッケージを決定した
- 発注者・委託先・経営層のそれぞれが基本的な対策を講じ、保有する情報を必要な範囲に絞ることを求めている
- 今回の施策のうち、無料の相談窓口は設置済みで、お助け隊サービスの追加メニューや警察の専用窓口は時期が示された段階である
- 取引先管理の制度（セキュリティ対策評価制度）は、政府パッケージが2027年3月の開始を掲げている
政府がサイバーセキュリティ緊急対策パッケージを決定：4本柱の概要
何が決まったのでしょうか。国家サイバー統括室（内閣官房に置かれた、サイバー対策の司令塔となる政府の組織）が公表した『サイバーセキュリティ緊急対策パッケージ』は、早期に実施または着手できる施策を、次の4本柱にまとめています。
| 柱 | 内容 |
|---|---|
| 1 AIも活用した基本的な対策の徹底 | 注意喚起、個人データの最小化、AIを使った脆弱性（システムの弱点）の発見と対策 |
| 2 情報収集・集約、捜査・分析体制の強化 | セキュリティ企業などからの情報収集、被害企業からの情報集約、攻撃の分析能力の強化 |
| 3 サイバー攻撃への対処の戦略的な実施 | 被害の恐れがある組織への政府からの接触、被害組織への官民の支援、中小企業の被害への支援 |
| 4 被害者支援・被害拡大防止策の強化 | 相談窓口の整備、情報発信、二次被害の防止 |
決定文書は、施策の一覧について、中長期的な課題も含めて「実行・検討していく」ものと位置づけています。決まった施策と検討中の施策が一つの文書に混在しているため、時期の表記を見分けて読むことが大切です。
政府が求める基本的な対策：発注者・委託先・経営層それぞれの責任
政府は、なぜ緊急対策を決めたのでしょうか。決定文書は、昨今の漏洩事案の多くで、すでに知られているシステムの弱点（既知の脆弱性）の放置、WEBサイト等の設定不備、アプリ開発時のセキュリティ対策の不足など、自組織または委託先における基本的な対策が十分でなかった、と認識を示しています。AIの進展により、こうした隙が短時間かつ大規模に突かれる時代になった、との認識です。
そのうえで求めているのは、政府・地方公共団体・企業を問わず、発注者・委託先・経営層のそれぞれが責任を持って基本的な対策を「当たり前」に講じることです。万一侵入されても被害を最小限にとどめられるよう、保有する情報を必要な範囲に絞ることもあわせて求めています。
個人情報の扱いでは、個人情報保護委員会が2026年10月7日に、保有する個人データの必要性の確認と不要なデータの消去について事業者へ注意喚起を行いました。決定文書によると、今後の予定は次のとおりです。
| 施策 | 時期の表記 |
|---|---|
| 本人確認のために取得した画像等の保存に関する基本ルール（業種ごとの注意喚起等） | 2026年度中に検討 |
| 個人データを守るための管理上の対策を示す「安全管理措置に関するガイドライン」の改正 | 2027年1月中の施行を目指す |
中小企業に関わる支援と制度：始まっているものと時期が示されたもの
中小企業にとって、自社に関係するのはどの施策でしょうか。決定文書から中小企業に関わる施策を選び、状況ごとに整理すると次のとおりにまとめられます。
| 状況 | 施策 | 内容 |
|---|---|---|
| 設置済み | 無料の相談窓口 | 情報処理推進機構（IPA）に2026年10月16日に特別相談窓口を設置。各都道府県の「よろず支援拠点」と中小企業基盤整備機構の「IT経営サポートセンター」にも、10月27日に無料の「サイバーセキュリティ特別相談窓口」を設置 |
| 設置済み | サイバー対応特設サイト | 国家サイバー統括室が2026年10月30日に開設。相談窓口や注意喚起などの情報を一元的に案内する（公式サイト） |
| 速やかに（追加メニュー） | 「サイバーセキュリティお助け隊サービス」の拡充 | 中小企業等が被害に遭った際に、一定の基準を満たす専門事業者が現場で初動対応を支援するサービスは、民間事業者が提供する契約型で、すでに利用できる。そこに、被害発生時の診断、定期バックアップと復旧支援、定期脆弱性診断を追加 |
| 2026年中・2026年度中 | 警察の法人専用窓口「サイバー被害110番（仮称）」 | 全ての都道府県警察本部のサイバー部門に開設。窓口の開設は2026年中、専用ダイヤルの整備は2026年度中 |
| 2026年度中の早期 | 「官民サイバー救援隊（仮称）」 | 被害組織から支援の要請があり、必要性・緊急性等が特に認められる場合に、官民の専門人材を派遣する仕組み。国家サイバー統括室内に事務局を設置して準備を加速 |
| 2027年の年始を目途 | 攻撃観測網の実証事業 | IPAが、取引でつながる企業（サプライチェーン企業）が参加する観測網で攻撃を24時間365日監視する事業を開始 |
| 2027年3月 | サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度。本記事では「取引先管理の制度」） | 企業のセキュリティ対策状況を評価し、企業間の取引で共通の尺度として使える制度。大企業の委託先管理の手法として推奨される。★3は専門家の確認付きの自己評価、★4は第三者評価で、政府パッケージが2027年3月の開始を掲げ、IPAは★3・★4の登録申請の受付を同月に開始する予定としている |
＊お助け隊サービスそのものは、民間事業者の契約型サービスとして現在も利用できます。政府文書で「速やかに」とされたのは追加メニューで、開始日は示されていません。
＊「（仮称）」の付く窓口や組織は、名称も仮のものです。
＊今回の施策のうち、設置済みで相談先として使えるのは、無料の相談窓口とサイバー対応特設サイトです。
取引先管理の制度は、大企業が委託先を管理する際の共通の物差しです。★の取得は任意で、取引の条件にするかどうかは契約する当事者間で決まるとIPAは案内しています。中小企業にとっては、取引先の大企業から委託先として求められる管理の水準を、この制度を目安に示される場面が出てくる、という動きです。
自社で確認する点：保有情報と委託先の把握
決定文書が求める基本的な対策は、既知の弱点への対応、設定の確認、委託先を含む管理、保有する情報を絞ることです。自社で確認するための問いは、次の4つです。
| 確認 | 確認する問い | 関わる政府の求め |
|---|---|---|
| □ | 自社が保有している個人データ（顧客情報、従業員情報、本人確認のために預かった画像など）のうち、いま使っていないものはどれか | 保有する情報を必要な範囲に絞る |
| □ | WEBサイトや予約・会員の仕組みを、委託先が提供している場合、その委託先のセキュリティ対策を自社は把握しているか | 委託先を含む基本的な対策 |
| □ | 被害に遭ったとき、最初に連絡する相談先（IPA、よろず支援拠点、警察など）は、社内で共有されているか | 被害時の相談・支援体制 |
| □ | 取引先の大企業から、委託先管理の水準を問われた場合、自社の対策状況を説明できるか | 取引先管理の制度（2027年3月） |
まとめ：設置済みの相談窓口と、これから整う支援・制度
政府の緊急対策パッケージは、4本柱のもとで、発注者・委託先・経営層のそれぞれが基本的な対策を講じ、保有する情報を絞ることを求めています。
中小企業に関わる施策のうち、設置済みなのは無料の相談窓口とサイバー対応特設サイトです。お助け隊サービスの追加メニューや警察の法人専用窓口、官民サイバー救援隊は時期が示された、あるいは準備が進む段階で、取引先管理の制度は2027年3月の開始が掲げられています。
貴社が保有する個人データと委託先を把握していることが、政府の求める基本的な対策の出発点になります。
出典・参照：
- サイバーセキュリティ緊急対策パッケージ（令和8年11月6日 サイバーセキュリティに関する関係閣僚会議決定）
- サイバーセキュリティに関する関係閣僚会議（内閣官房 国家サイバー統括室）
- サイバー対応特設サイト（国家サイバー統括室）
- サイバーセキュリティお助け隊サービス制度（IPA）
- SCS評価制度の詳細情報（IPA）
The post 政府がサイバーセキュリティ緊急対策パッケージを決定｜中小企業に関わる点【DXニュース解説】 first appeared on DXportal.
