「能動的サイバー防御」と聞くと、国が私たちのメールやSNSを常時監視し、内容まで読めるようになるのではないか、と心配する人もいるでしょう。
結論から言えば、国がすべての通信を取得し、職員がメール本文や通話内容を自由に読む制度ではありません。一方で、法律は一定の条件の下で、本人の同意を得ずに国外が関係する通信の情報を取得する仕組みを設けました。取得の段階では通信内容に当たる部分も含まれ得ますが、人が読む前に自動選別し、分析対象をサイバー攻撃に関係する「機械的情報」に限る設計です。この「取得」と「人による分析」の違いが、制度を理解する鍵になります。
さらに重要なのは時期です。2026年11月10日現在、通信情報の取得・選別に関する規定はまだ施行されていません。すでに動き始めた制度と、今後始まる予定の制度を分けて見ていきましょう。
能動的サイバー防御とは何か
能動的サイバー防御は、重大なサイバー攻撃を受けてから復旧するだけでなく、攻撃の兆候をつかみ、被害を未然に防いだり、拡大を食い止めたりするための政策です。
政府が掲げる柱は、主に三つあります。
一つ目は「官民連携」です。電力、通信、金融など社会を支える事業者と国が、攻撃や被害に関する情報を共有します。
二つ目は「通信情報の利用」です。攻撃に使われるサーバーや通信の特徴を見つけるため、法律で定めた条件の下で通信情報を取得・分析します。
三つ目は「アクセス・無害化」です。重大な危害を防ぐ必要がある場合、警察などが攻撃に使われているサーバー等にアクセスし、不正なプログラムの停止・削除などを行います。「無害化」は、私たちの日常の通信を見ることとは別の措置です。
法律はできたが、すべてが同時に始まったわけではない
制度の根拠となる「サイバー対処能力強化法」と、その関連法を改める「同整備法」は、2025年5月に成立しました。
2026年10月1日には「官民連携の強化」と「アクセス・無害化措置」に関する規定が施行されています。一方、通信情報を取得・選別する制度について、政府の公表スケジュールは「2027年11月まで」の施行を予定しています。したがって、「能動的サイバー防御法が施行された」というニュースだけで、「国による新制度に基づく通信情報の取得も始まった」と受け取るのは正確ではありません。
国が取得するのはどんな通信か
通信情報の取得制度には、大きく分けて二つの経路があります。
一つは、電力会社などの事業者を含む通信の当事者と国が協定を結び、その当事者が送受信する通信情報の提供を受ける方法です。政府資料は、協定の締結は任意だと説明しています。ここでいう「同意」は協定を結ぶ通信当事者の同意であり、通信の相手方を含む一人ひとりから必ず個別に同意を取るという意味ではありません。協定で取得した情報も、法律に基づく自動選別の対象になります。
もう一つは、通信当事者の同意によらない取得です。法律が対象とするのは、国内の設備を経由する「国外から国外」への通信と、「国外から国内」「国内から国外」への通信です。ただし、国外が関係する通信なら無条件で取得できるわけではありません。攻撃との関係を疑う事情や、ほかの方法では把握・分析が著しく困難であることなど、区分ごとの要件を満たし、原則としてサイバー通信情報監理委員会の承認を受ける必要があります。
国内から国内への通信は、同意によらない取得・分析の対象として設計されていません。だからといって「海外のサービスを使った通信は全部取得される」「国内の人同士なら、どんな経路でも問題にならない」といった単純な区分もできません。実際にどの設備を通るどの通信を対象とするかは、法律上の要件と個別の承認に照らして判断されます。
メール本文まで読まれるのか
ここは「取得する情報」と「選別後に人が分析する情報」を分ける必要があります。
国会審議で政府は、要件に合う通信を取得する段階では、通信内容に当たる部分も含まれ得ると答えています。「本文は取得さえされない」と説明するのは不正確です。ただし、取得した情報は人による閲覧を伴わない方法で自動選別し、サイバー攻撃に関係すると認められる機械的情報だけを記録・分析します。それ以外は選別後、直ちに消去する仕組みです。
機械的情報の例として政府が挙げるのは、IPアドレス、通信日時、データ量、ソフトウェアの種類、コンピューターへの指令情報などです。通常のメール本文や通話内容といった、人と人との意思疎通の本質的な内容は、選別後の分析対象ではありません。
ただし、「機械的」という名前は「個人と無関係」「保護の必要がない」という意味ではありません。誰がいつ、どこへ通信したかにつながる情報も、通信の秘密の保護対象です。政府も国会でその点を認めています。
国が自由に監視できないようにする仕組みは
同意によらない通信情報の取得では、独立した機関である「サイバー通信情報監理委員会」が、取得の要件や選別基準を審査・承認します。取得後の情報の扱いも継続的な検査の対象です。
法律には、目的を達成するために必要な最小限度で権限を行使し、通信の秘密や憲法上の権利を不当に制限してはならないとの規定もあります。委員会は活動状況を国会に報告し、その概要を公表する仕組みです。
もっとも、監督機関があることだけで、懸念がなくなるわけではありません。取得対象の設定や自動選別が適切か、選別前の情報が確実に消去されるか、個人につながる情報がどう扱われるかは、運用を検証すべき点です。衆議院の附帯決議も、国民の「通信情報が監視され得るのではないか」という懸念に政府が説明責任を果たすことや、委員会ができる限り詳しく国会に報告することを求めています。
「攻撃元へのアクセス」は国民のスマホを調べることか
アクセス・無害化は、警察や、法律上の特別な要件を満たす場合の自衛隊が、重大なサイバー攻撃に使われるサーバー等に対処する制度です。国が誰のスマホでも自由に開き、私的な会話を調べる権限を与えたものではありません。
一方、攻撃に使われる機器は、犯人が所有するものとは限りません。第三者の機器が乗っ取られ、「踏み台」にされる場合もあります。措置の対象をどう特定し、正常な機能への影響をどう抑え、海外の設備であれば国際法上どう扱うかは重要な問題です。警察による措置には原則として監理委員会の事前承認が必要ですが、承認を待ついとまがない特段の事情がある場合には、事後の通知を認める規定もあります。
結局、私たちの通信はどこまで見られるのか
2026年11月10日現在、能動的サイバー防御の法律に基づく新たな通信情報の取得・自動選別制度は施行前です。すでに始まった官民連携やアクセス・無害化と、混同しないことが第一です。
今後、通信情報の利用に関する規定が施行されても、国が全国民のメール本文を常時読み、自由に保存・分析できる制度にはなっていません。同意によらない取得には対象と要件があり、人が分析するのは自動選別を通過した、攻撃に関係する機械的情報に限られます。
しかし、対象となる通信を取得する段階では内容に当たる部分も含まれ得ます。また、IPアドレスや日時なども通信の秘密です。「本文を人が読まないから監視の問題はない」と片づけることもできません。
問われるのは、重大なサイバー攻撃を防ぐ効果だけでなく、取得範囲を必要最小限に抑え、選別・消去・監督を法律どおりに実行し、その運用を国民が検証できるかどうかです。