政府がサイバーセキュリティ緊急対策パッケージを決定｜中小企業に関わる点【DXニュース解説】

政府は2026年11月6日、サイバーセキュリティに関する関係閣僚会議で、「サイバーセキュリティ緊急対策パッケージ」を決定しました。中小企業に特に直接関わるのは、被害に遭ったときの支援の拡充と、大企業が委託先に求める管理の制度です。

相次ぐ不正アクセスと情報漏洩を受けた対策で、政府・自治体・企業を問わず基本的な対策を当たり前に講じることと、保有する情報を必要な範囲に絞ることを求めています。

今回の施策のうち、無料の相談窓口は設置済みです。民間事業者が提供する中小企業向けの支援サービス「お助け隊サービス」の追加メニューや、警察の専用窓口は時期が示された段階で、取引先管理の制度は2027年3月の開始が示されています。

本記事では、4本柱の概要と、中小企業に関わる施策を、始まっているものと時期が示されたものに分けて解説します。

【本記事の要点】

政府は2026年11月6日、4本柱からなるサイバーセキュリティ緊急対策パッケージを決定した
発注者・委託先・経営層のそれぞれが基本的な対策を講じ、保有する情報を必要な範囲に絞ることを求めている
今回の施策のうち、無料の相談窓口は設置済みで、お助け隊サービスの追加メニューや警察の専用窓口は時期が示された段階である
取引先管理の制度（セキュリティ対策評価制度）は、政府パッケージが2027年3月の開始を掲げている

政府がサイバーセキュリティ緊急対策パッケージを決定：4本柱の概要

何が決まったのでしょうか。国家サイバー統括室（内閣官房に置かれた、サイバー対策の司令塔となる政府の組織）が公表した『サイバーセキュリティ緊急対策パッケージ』は、早期に実施または着手できる施策を、次の4本柱にまとめています。

柱	内容
1 AIも活用した基本的な対策の徹底	注意喚起、個人データの最小化、AIを使った脆弱性（システムの弱点）の発見と対策
2 情報収集・集約、捜査・分析体制の強化	セキュリティ企業などからの情報収集、被害企業からの情報集約、攻撃の分析能力の強化
3 サイバー攻撃への対処の戦略的な実施	被害の恐れがある組織への政府からの接触、被害組織への官民の支援、中小企業の被害への支援
4 被害者支援・被害拡大防止策の強化	相談窓口の整備、情報発信、二次被害の防止

決定文書は、施策の一覧について、中長期的な課題も含めて「実行・検討していく」ものと位置づけています。決まった施策と検討中の施策が一つの文書に混在しているため、時期の表記を見分けて読むことが大切です。

政府が求める基本的な対策：発注者・委託先・経営層それぞれの責任

政府は、なぜ緊急対策を決めたのでしょうか。決定文書は、昨今の漏洩事案の多くで、すでに知られているシステムの弱点（既知の脆弱性）の放置、WEBサイト等の設定不備、アプリ開発時のセキュリティ対策の不足など、自組織または委託先における基本的な対策が十分でなかった、と認識を示しています。AIの進展により、こうした隙が短時間かつ大規模に突かれる時代になった、との認識です。

そのうえで求めているのは、政府・地方公共団体・企業を問わず、発注者・委託先・経営層のそれぞれが責任を持って基本的な対策を「当たり前」に講じることです。万一侵入されても被害を最小限にとどめられるよう、保有する情報を必要な範囲に絞ることもあわせて求めています。

個人情報の扱いでは、個人情報保護委員会が2026年10月7日に、保有する個人データの必要性の確認と不要なデータの消去について事業者へ注意喚起を行いました。決定文書によると、今後の予定は次のとおりです。

施策	時期の表記
本人確認のために取得した画像等の保存に関する基本ルール（業種ごとの注意喚起等）	2026年度中に検討
個人データを守るための管理上の対策を示す「安全管理措置に関するガイドライン」の改正	2027年1月中の施行を目指す

中小企業に関わる支援と制度：始まっているものと時期が示されたもの

設置済みの相談窓口・特設サイトと、今後予定される追加支援・SCS評価制度を分けた図

中小企業にとって、自社に関係するのはどの施策でしょうか。決定文書から中小企業に関わる施策を選び、状況ごとに整理すると次のとおりにまとめられます。

状況	施策	内容
設置済み	無料の相談窓口	情報処理推進機構（IPA）に2026年10月16日に特別相談窓口を設置。各都道府県の「よろず支援拠点」と中小企業基盤整備機構の「IT経営サポートセンター」にも、10月27日に無料の「サイバーセキュリティ特別相談窓口」を設置
設置済み	サイバー対応特設サイト	国家サイバー統括室が2026年10月30日に開設。相談窓口や注意喚起などの情報を一元的に案内する（公式サイト）
速やかに（追加メニュー）	「サイバーセキュリティお助け隊サービス」の拡充	中小企業等が被害に遭った際に、一定の基準を満たす専門事業者が現場で初動対応を支援するサービスは、民間事業者が提供する契約型で、すでに利用できる。そこに、被害発生時の診断、定期バックアップと復旧支援、定期脆弱性診断を追加
2026年中・2026年度中	警察の法人専用窓口「サイバー被害110番（仮称）」	全ての都道府県警察本部のサイバー部門に開設。窓口の開設は2026年中、専用ダイヤルの整備は2026年度中
2026年度中の早期	「官民サイバー救援隊（仮称）」	被害組織から支援の要請があり、必要性・緊急性等が特に認められる場合に、官民の専門人材を派遣する仕組み。国家サイバー統括室内に事務局を設置して準備を加速
2027年の年始を目途	攻撃観測網の実証事業	IPAが、取引でつながる企業（サプライチェーン企業）が参加する観測網で攻撃を24時間365日監視する事業を開始
2027年3月	サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度。本記事では「取引先管理の制度」）	企業のセキュリティ対策状況を評価し、企業間の取引で共通の尺度として使える制度。大企業の委託先管理の手法として推奨される。★3は専門家の確認付きの自己評価、★4は第三者評価で、政府パッケージが2027年3月の開始を掲げ、IPAは★3・★4の登録申請の受付を同月に開始する予定としている

＊お助け隊サービスそのものは、民間事業者の契約型サービスとして現在も利用できます。政府文書で「速やかに」とされたのは追加メニューで、開始日は示されていません。
＊「（仮称）」の付く窓口や組織は、名称も仮のものです。
＊今回の施策のうち、設置済みで相談先として使えるのは、無料の相談窓口とサイバー対応特設サイトです。

取引先管理の制度は、大企業が委託先を管理する際の共通の物差しです。★の取得は任意で、取引の条件にするかどうかは契約する当事者間で決まるとIPAは案内しています。中小企業にとっては、取引先の大企業から委託先として求められる管理の水準を、この制度を目安に示される場面が出てくる、という動きです。

自社で確認する点：保有情報と委託先の把握

不要な個人データ、委託先の対策、被害時の連絡先、自社の対策の説明について確認する図

決定文書が求める基本的な対策は、既知の弱点への対応、設定の確認、委託先を含む管理、保有する情報を絞ることです。自社で確認するための問いは、次の4つです。

確認	確認する問い	関わる政府の求め
□	自社が保有している個人データ（顧客情報、従業員情報、本人確認のために預かった画像など）のうち、いま使っていないものはどれか	保有する情報を必要な範囲に絞る
□	WEBサイトや予約・会員の仕組みを、委託先が提供している場合、その委託先のセキュリティ対策を自社は把握しているか	委託先を含む基本的な対策
□	被害に遭ったとき、最初に連絡する相談先（IPA、よろず支援拠点、警察など）は、社内で共有されているか	被害時の相談・支援体制
□	取引先の大企業から、委託先管理の水準を問われた場合、自社の対策状況を説明できるか	取引先管理の制度（2027年3月）

まとめ：設置済みの相談窓口と、これから整う支援・制度

政府の緊急対策パッケージは、4本柱のもとで、発注者・委託先・経営層のそれぞれが基本的な対策を講じ、保有する情報を絞ることを求めています。

中小企業に関わる施策のうち、設置済みなのは無料の相談窓口とサイバー対応特設サイトです。お助け隊サービスの追加メニューや警察の法人専用窓口、官民サイバー救援隊は時期が示された、あるいは準備が進む段階で、取引先管理の制度は2027年3月の開始が掲げられています。

貴社が保有する個人データと委託先を把握していることが、政府の求める基本的な対策の出発点になります。

出典・参照：

サイバーセキュリティ緊急対策パッケージ（令和8年11月6日サイバーセキュリティに関する関係閣僚会議決定）

サイバーセキュリティに関する関係閣僚会議（内閣官房国家サイバー統括室）

サイバー対応特設サイト（国家サイバー統括室）

サイバーセキュリティお助け隊サービス制度（IPA）

SCS評価制度の詳細情報（IPA）