公開：2026/11/6

【2026/11/5発表】内閣官房国家サイバー統括室「不正アクセス対策要請」を解説｜今すぐ取り組むべきセキュリティ対策とは

2026年11月5日、内閣官房国家サイバー統括室より「個人情報の漏えい等につながる不正アクセスへの対策について」として、事業者に対するセキュリティ対策徹底への強い要請が出されました。

この要請は「ウェブサイトやモバイルアプリを使用した事業を運用し、個人情報を取り扱っている事業者等」に向けられています。お問い合わせフォームや顧客向けアプリを展開する、事実上「すべての企業」が対象です。AIによってサイバー攻撃が容易になったことで、事業規模の大小を問わず幅広い事業者が標的となっています。「2027年3月に運用開始予定のサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）が始まってから対応すればいい」といった先送りの姿勢は、現在進行形で進む攻撃に対して命取りになりかねません。

本記事では、政府から要請されている3つの重要ポイントについて分かりやすく解説し、企業が今すぐ講じるべき具体的アプローチを整理します。

1. 「運用・管理」における対策

「作って終わり」ではない、「脆弱性管理」の強化

Webサイトやアプリの運用中に新たな脆弱性が発見・悪用されるのを防ぐため、組織で利用するソフトウェアの構成要素を継続的に把握することが求められています。これに対処する方法として、ソフトウェア部品表（SBOM）やソフトウェア構成解析（SCA）等を活用し、構成情報を継続的に更新することが明記されました。

また、業務上不要な管理画面などが外部に晒されるのを防ぐため、アタックサーフェス（攻撃対象領域）をASM等を活用して継続的に把握・最小化する必要があります。さらに、AIを活用した攻撃に対抗するため、防御側においてもAI技術を活用したセキュリティ診断や監視の導入を積極的に検討することが要請されています。

今すぐ取り組みたい具体的な対策

ソフトウェア部品表（SBOM）の台帳化と常時更新
導入しているOSSやフレームワークのバージョン・利用箇所を可視化し、新たな脆弱性（ゼロデイ等）公表時に自社システムへの影響を即座に特定できる体制を構築する。

外部露出資産（ASM）の定常的な棚卸し
意図せず外部公開されている不要な管理画面、デバッグ用機能、クラウドの設定不備を定期的に探索・是正し、攻撃の足掛かりを断つ。

2. 「設計・開発段階」における対策

設計段階からの作り込みが鍵。「セキュリティ・バイ・デザイン」とAPI保護

リリース後の脆弱性発覚による修正コストの増加や、サービス停止等の重大なインシデントを防ぐため、要件定義から運用までのライフサイクル全体にセキュリティを組み込む「セキュリティ・バイ・デザイン」による開発推進が、政府より強く要請されています。

特に、アプリを解析してバックエンドAPIから機密情報を盗み出す「A2B（App-to-Backend）攻撃」を防ぐため、厳格な認可制御や認証情報の安全な管理、レート制限の実装が不可欠です。また、本番公開前には十分な技術力を備えた第三者ベンダーによる網羅的な診断の実施が求められています。

今すぐ取り組みたい具体的な対策

上流工程（要件定義・設計）からのセキュリティ組み込み
開発初期段階で脅威モデリングを実施し、アーキテクチャ設計や仕様書の段階で脆弱性の芽を摘み取る。

バックエンドAPIの認証・認可防御の徹底
ソースコード内へのAPIキー等のハードコーディングを排除し、アクセス権限の適切な検証（BOLA/BFLA対策）や急激なアクセス集中を遮断するレート制限を実装する。

定期的な脆弱性診断・ペネトレーションテストの実施
基準（情報セキュリティサービス基準等）を満たす専門ベンダーによる手動・自動のハイブリッド検証を実施し、残存リスクを検証してから本番公開する。

3. 「サプライチェーン」を通じた侵害への対策

委託先経由の侵入を遮断する。ゼロトラストと構成管理の要請

業務委託先や保守事業者の環境（VPN等のリモート接続）を足掛かりとして、発注元のシステムへ侵入される事案が確認されています。一度侵入を許せば、責任と被害は発注元企業自身が負うことになります。

そのため、境界型VPNのみへの依存から脱却し、ゼロトラストの考え方に基づくアクセス制御や多要素認証（MFA）の適用が強く要請されています。また、委託開発時にはSBOMの提出を義務付け、サプライチェーン全体で透明性を確保することが求められます。

今すぐ取り組みたい具体的な対策

委託先接続環境の多層防御とゼロトラスト化
保守回線やVPNへの多要素認証（MFA）適用を徹底し、作業員のアクセス範囲を最小限のサーバー・機能へ限定する。

調達・委託契約におけるセキュリティ条項の厳格化
発注仕様書にSBOMの提出・検証義務、インシデント時の報告義務を明記し、納品物の安全性を発注側が客観的に検証する体制を整える。

ペネトレーションテスト（疑似攻撃）による評価
委託先経由や公開資産の隙間から実際に侵入が可能かどうかを攻撃者視点で検証し、防衛線の実効性を評価する。

AGESTが貴社のセキュリティ対策を支援します。

サイバー攻撃による影響が致命的な経営リスクへと発展する可能性を考慮し、経営トップの判断の下で必要な対策を直ちに講じることが求められています。AGESTでは、本要請で網羅すべき「SBOM管理」「脆弱性診断」「サプライチェーン対策」に対応可能なソリューションを提供しています。

SBOM Archi（脆弱性リスク管理ツール）

危険な弱点を放置しない。攻撃される確率まで含めて優先順位を判定
単なる深刻度だけでなく「実際に悪用される確率」まで分析し、本当に今すぐ直すべき脆弱性を迷わず特定できます。また、脆弱性だけでなく、ライセンス終了（EOL）、サポート切れ（EOS）も確認できるため、先日のPHP問題で発生したサポート切れの古いバージョンのまま気づかず使っていたという事態も回避する事が可能になります。
新たな脅威が出た際も、自社のどこに使われているかを一発で横断検索
PHP2Shellのような重大インシデント時も、管理下のシステム全体を即座にスキャンし、影響範囲を素早く洗い出せます。既知のランサムウェアなども検出できます。
SBOMファイルの作成を支援
自社環境下でSBOMファイルをどのように作成したらよいか、どう運用したら良いのかわからない、そのような企業様に、AGESTがお客様の環境を対象としたSBOMファイルの作成を支援いたします。

SBOM Archi（脆弱性リスク管理ツール）

脆弱性診断・ペネトレーションテスト

機械的なツールでは見抜けない「権限の不備」を、プロの手作業で徹底検証
自動診断ツールをすり抜けやすい「ログイン後に他人のデータが閲覧できてしまう欠陥」なども、専門エンジニアが攻撃者の視点で実際に操作して確実に洗い出します。
国の基準に適合した、取引先や監査にも通る確かな診断品質
経済産業省の「情報セキュリティサービス基準」を満たした信頼性の高い診断で、客観的な安全証明をスムーズに行えます。

脆弱性診断（Web・スマホアプリ・プラットフォーム）

AGEST ZERO SHIELD（AIセキュリティ防衛プラットフォーム）

AI攻撃にはAIで対抗。ゼロデイ検知からコード修正案まで自動提示
人の手では追いつかない未知の弱点（ゼロデイ）をAIが自動で見つけ出し、修正用のコード案まで即座に提示します。
機密コードを外に出さない「完全閉域」で、安心の自律防御を実現
海外など外部のAIにソースコードを送信することなく、自社環境内だけで安全に最先端AIセキュリティを稼働できます。

AGEST ZERO SHIELD（AIセキュリティ防衛プラットフォーム）