「脅威ハンティング」勧奨の対象組織を明示、能動的サイバー防御とも連動 政府
サイバー攻撃の高度化に伴い、従来の「アラートを待つ」という受動的な境界防御から、潜在的脅威を自ら捜索する「能動的な対応」への転換が進められています。政府のサイバーセキュリティ戦略本部が決定した「脅威ハンティングの普及促進・実施等に係る基本方針」（2026年7月31日）では、民間事業者における脅威の放置が、サプライチェーンを通じて重要インフラや政府機関へ波及するリスクを指摘。自組織のシステム深部に潜むサイバー脅威を能動的に捜索・排除する「侵入前提」のセキュリティ対策を、国を挙げて推進する姿勢が示されています。
政府が脅威ハンティングの普及を促進している背景には、正規の管理ツールや運用環境を悪用して長期間潜伏する「システム内寄生（Living off the Land: LOTL）戦術」や、AIを悪用した攻撃の深刻化があります。これらの攻撃は不正プログラムのシグネチャ（特徴パターン）を伴わないケースが多く、従来の境界防御では検知が困難です。そのため、自発的かつ継続的に内部リスクを洗い出す脅威ハンティングの定着が急務とされています。
基本方針が提示する対象組織は以下の通りです。
- 国の行政機関（政府機関）
- 独立行政法人および指定法人
- 重要インフラ事業者（民間14分野）
- 基幹インフラ事業者（経済安全保障推進法に基づく15分野）
- 重要情報の漏えい等により国に深刻・致命的な影響を生じさせるおそれがある民間事業者
一方で、導入には課題もあります。LOTL戦術の検知には、自社システムの「正常な挙動（ベースライン）」を網羅的に把握した上での高度なログ解析が必要ですが、現場の専門人材は枯渇しています。加えて、直接的な利益を生まないセキュリティ投資に対する経営陣の理解不足も普及の障壁となっています。
これらの課題に対し、政府は多角的な支援体制を整える方針です。内閣官房の国家サイバー統括室（NCO）を中心に、実務ガイドブックを作成・提供します。AIを搭載した次世代のSIEM（Security Information and Event Management）やEDR（End-point Detection and Response）などの活用法や外部委託時の役割分担を整理した内容となる見通しです。人材面では、技術的リスクを経営判断の文脈に翻訳して説明できる「橋渡し人材」の育成を支援します。
さらに、情報通信研究機構（NICT）の実践的演習「CYDER」や演習基盤「CYROP」、情報処理推進機構（IPA）の産業サイバーセキュリティセンター（ICSCoE）などの知見を活用したトレーニングを拡充します。併せて、警察庁の高度解析ノウハウの活用や、防衛省・自衛隊によるOTシステムを含む個別支援体制の構築も進められます。
対象組織と政府の間では、2026年10月に発足する協議会なども通じ、情報共有やフィードバックが促進される予定です。ここで得られたサイバー脅威情報は、注意喚起やパブリック・アトリビューション、アクセス・無害化措置をはじめとする能動的サイバー防御に関する施策の実施に有用な情報として活用されることが想定されています。
