脆弱性対策を強化、「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」の一部改定を発表　NCO

内閣官房国家サイバー統括室（NCO）は2026年6月12日、「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」の一部改定を公表しました。高性能AIの悪用などによるサイバー攻撃の高度化・自動化に対応するため、安定稼働偏重から脱却し、システムの一時停止も辞さない方針が示されました。

これまで行政の情報システム運用においては、安定稼働が重視されるあまり、セキュリティパッチ（修正プログラム）公開後もシステムへの影響調査や検証に時間がかかり、ほとんど適用されないまま放置されるケースがありました。しかし、サイバー攻撃が自動化・高速化する昨今においては、このタイムラグが致命傷となりかねません。ガイドラインを公表した日、松本尚サイバー安全保障担当相は記者会見において、「運用を停止するには大きなリーダーシップが必要だが、リスクに合わせて決断も必要」と言及しました。

このほかには、情報システム運用継続計画（IT-BCP）の確実な整備▽インシデント発生時の対処強化▽主体認証の強化（多要素認証とゼロトラスト）▽DMARC対応によるフィッシング対策の強化――が盛り込まれました。

重大なインシデントの可能性を認知した際、各省庁はNCOへ連絡・共有することとなっています。新たに「IoC（侵害の痕跡）」「ログ」「デジタルフォレンジック結果」が報告項目に追加されました。

組織の内外を問わずネットワークは常に侵害されているとの前提に立ち、ゼロトラストアーキテクチャの考え方も導入されました。単に初回アクセス時のみ制御を行うのではなく、アクセス元の機器の状態やネットワークの状況を継続的に検証する「動的なアクセス制御」の実装を求めています。また、特権管理者など「強い権限を持つ主体」に対し、原則としてパスワードに加えて生体情報などを組み合わせる多要素認証（MFA）の導入が明記されました。

公的機関を装ったなりすましメールが多発しているため、DMARC（送信ドメイン認証技術）のポリシー設定が強化されました。DMARCには導入時の様子見を目的とした「監視」の設定がありますが、今回の改定ではこれを原則として認めず、不正なメールを受信者の迷惑メールフォルダに振り分ける「隔離」または受信自体をブロックする「拒否」に設定することを要求しています。

参考情報