内閣官房国家サイバー統括室は2026年10月9日、不正アクセスによる漏えい等の事案を踏まえた対応を注意喚起しました。原文の対策を項目ごとに整理し、自社の点検表に落とす手順と、同日の金融庁の注意喚起も紹介します。
この記事のまとめ
内閣官房国家サイバー統括室は、2026年10月9日に「不正アクセスによる漏えい等の事案を踏まえた対応について」を出しました。個人情報を含むデータが盗まれる事案を複数確認しているとして、対策の徹底を速やかに検討するよう求める内容です。この記事では原文の項目を整理し、自社の点検表に落とす形にします。
原文の冒頭は、次のとおりです。
国家サイバー統括室では、ウェブシステムに係る脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などにより、大量の個人情報を取り扱う事業者等の情報システムが不正アクセスにより侵入され、個人情報を含むデータが窃取される事案を複数確認しております。
宛先は、原文の呼びかけでは「特に、大量の個人情報を取り扱う事業者や機微な情報を取り扱う事業者等」です。末尾の段落は、経営層の皆様におかれては、とも呼びかけています。
背景の事案について、原文は会社名・件数・時期を書いていません。この記事も、原文にない事案名や数字は足しません。
原文は3つの柱で構成されています。以下は、各項目の箇条書きを原文の言い回しのまま並べたものです。
原文は「いつ攻撃を受けてもおかしくない」という前提で対策を講じることが重要だとしています。
(1)脆弱性の適切な管理
(2)アカウント管理・認証
(3)レジリエンスの向上
原文は「委託先企業と共に管理する」という認識の下で、適切な安全管理措置を講じることを求めています。
(1)委託先企業等のセキュリティ対策状況の把握
(2)委託契約におけるセキュリティ要件の明確化
(3)情報共有範囲の適正化
(4)サプライチェーン全体のリスクマネジメント
原文は「保有する情報資産を守る」という視点に立った安全管理措置が求められているとしています。
(1)保有する情報資産の適切な管理
(2)保有情報の最小化
(3)適切なアカウント管理・アクセス制御
(4)データ保護の徹底
(5)ログ取得・監視・分析の強化
原文は、不審な通信や大量のアクセスの痕跡がないか、アクセスログ等の点検・分析を実施することを推奨しています。
原文の最後は、サイバー攻撃による被害は「もはや情報システム部門だけの問題ではありません」としています。そして、経営層に対し、サイバーセキュリティ対策を経営課題と位置づけ、必要な投資や人的体制整備を含む対策の強化をお願いしています。
被害にあった組織には、サイバー攻撃に関する技術的な情報を、内閣官房国家サイバー統括室や所管省庁、専門機関等に速やかに共有するよう、協力を求めています。
参考資料として、原文は次の4つを挙げています。
統一基準については、ミカタの重要インフラの統一基準が施行された記事で扱っています。
金融庁は同じ2026年10月9日に、金融機関等に向けて「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」を出しました。宛先は金融機関等で、国家サイバー統括室の注意喚起を引いています。点検を求める項目は、次のとおりです。
各金融機関等において、内閣官房国家サイバー統括室からの注意喚起「不正アクセスによる漏えい等の事案を踏まえた対応について」(令和8年10月9日)や、今後、公表情報等を通じて明らかとなる攻撃の原因・手口等を踏まえ、サードパーティリスク管理やインシデントが起きた場合の対応態勢も含めたサイバーセキュリティ対策について、点検すること。
金融庁は、このほか本人確認書類の画像の確認を徹底すること、犯罪収益移転防止法施行規則の改正の施行日(令和9年4月1日)を待たずにICチップ情報の読取への対応を図ることも求めています。金融機関等向けの内容のため、詳しくは原文を確認してください。
次の表の「確かめる場所・見る設定」は、編集部が原文の項目を自社の画面や台帳に落とすために整理したものです。原文には書かれていません。製品によって画面の名前は異なります。
| 原文の項目 | 確かめる場所・見る設定(編集部の整理) |
|---|---|
| パッチ・アップデートを速やかに適用する | OS・ミドルウェア・CMS・アプリの版の一覧と、各提供元の更新情報を照らす。最後に更新した日が古いものを先に見る |
| サポートが終了している製品・バージョンを利用しない | 資産台帳のサポート終了日の列。無ければ台帳に足す |
| 利用していないシステムや機能は停止・削除する | 外部公開しているURL・サブドメインの一覧と、使っている担当の対応表 |
| 定期的に脆弱性診断等を実施する | 直近の診断の日付と、直した記録 |
| 不要なポート、プロトコル、サービス等を無効化する | ファイアウォール・ルーターの許可ルール。外から届くポートの一覧 |
| 多要素認証(MFA)を導入する | 管理画面、VPN、メール、クラウドの管理者権限のログイン設定 |
| 推測されやすいパスワードの使用を禁止する | 各サービスのパスワードポリシー(長さ・禁止語・使い回しの確認) |
| 管理者アカウント・アクセス権を必要最小限にする | 管理者権限を持つアカウントの一覧と、持つ理由 |
| 不要なアカウントを速やかに無効化する | 人事の退職・異動の一覧と、各システムのアカウント一覧の突き合わせ |
| ログを適切に取得・保管する | 各システムのログ設定と保管期間 |
| 不審な通信や大量のアクセスを監視する | 監視ツールやクラウドのアラート設定。通知が届く先 |
| 侵入検知・防御システムのパターンファイル更新 | 更新が自動か、最終更新日はいつか |
| 外部からの異常な認証試行を把握する | ログインの失敗回数の通知設定 |
| 事業継続計画等にサイバーセキュリティを組み入れる、対応態勢を整備する | 連絡先・判断者・止める手順を書いた文書。最後に読み合わせた日 |
| 委託先の方針・体制・責任分界を確認する | 委託先ごとの契約書と、セキュリティの質問票への回答 |
| セキュリティ認証や監査結果を確認する | 認証の有効期限と、確認した日 |
| 再委託先を含む管理状況を把握する | 委託先に再委託の有無と再委託先の名前を聞いた記録 |
| 契約に報告義務・ログ管理・データ削除を入れる | 契約書の条項の有無。無ければ覚書で補う |
| 委託先へ提供する情報を必要最小限とする | 渡しているファイルの項目と、委託先のアクセス権 |
| 重要な取引先や委託先を洗い出す | 取引先・委託先の一覧と、渡している情報の種類 |
| 個人情報や業務情報の所在や管理者を把握する | 情報資産の台帳。保存先・管理者・保存期間の列 |
| 利用目的を終えた情報の削除、保存期間を過ぎた情報の廃棄 | 保存期間の規程と、直近の削除の記録 |
| 閲覧権限と更新権限を分離する | ファイルサーバー・データベース・業務システムの権限の設定画面 |
| 保存データ・通信経路を暗号化する | データベース・ストレージの暗号化設定、HTTPSの設定 |
| パスワードや認証情報を平文で保存しない | 設定ファイル、表計算ソフト、チャットに書いたパスワードの有無 |
| 外部電磁的記録媒体・バックアップの扱い | USBメモリ等の利用ルール、バックアップの保管先と権限 |
| クラウドの公開設定及びアクセス権限設定を確認する | ストレージの公開範囲、データベースの接続元の制限、共有リンクの設定 |
| アクセス記録の取得・監視・保管 | 個人情報を持つシステムのアクセスログの有無と保管期間 |
注意喚起は、個別の事案名を挙げていません。次の記事は、ミカタが同じ時期に取り上げた事案です。注意喚起との関係は、原文には書かれていません。
2026年10月9日時点の内容です。原文のPDFは、国家サイバー統括室のウェブサイトで公開されています。
A原文は「特に、大量の個人情報を取り扱う事業者や機微な情報を取り扱う事業者等」におかれては、と呼びかけています。そのほかの会社が対象外とは書かれていません。個人情報や業務情報を預かっている会社は、点検の項目として使えます。
A原文は、対策の徹底を速やかに検討いただくようお願いする内容です。期限や罰則は書かれていません。
A原文は、サイバー攻撃に関する技術的な情報を、内閣官房国家サイバー統括室や所管省庁、専門機関等に速やかに共有してほしいと協力を求めています。窓口の名前や電話番号は、原文には書かれていません。
この記事は、まだ監修者のチェックを受けていません。
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(解説)
法令・官公庁の発表・企業の公式発表などの一次情報を調べて、情シス向けの解説・比較・テンプレの記事を書きます。数字と日付は出典と照らして確かめ、記事の最後に出典を載せています。使っているAI: Anthropic Claude。
記事は AI が一次情報を調べて書き、機械の検査を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
