ドラマや映画に学ぶサイバーセキュリティ

１．2026年「サイバー対処能力強化法」施行が民間ビジネスに与える影響

日本では、2026年10月に、サイバー対処能力強化法に基づく民間事業者の報告制度などが施行された。政府による能動的サイバー防御のための法制度整備という側面もあるが、ビジネス上重要なのは、金融、通信、貨物自動車運送事業者などのうち一定の民間事業者（以下、「特別社会基盤事業者」）に、一定のサイバーインシデントの早期報告などが義務づけられた点であろう。それ以外の民間事業者にとっては、義務化の直接の対象外であるが、特別社会基盤事業者の取引先は下請け先まで含めるとかなり広範囲と想定される。また、今後、対象企業の拡大がありうることも含めて考えると、ビジネスの様々な点において求められるサイバーセキュリティのレベルは、上場企業はもとより（脚注１）、中小企業にとっても、上がることが予想される。

２．経営者に求められる情報収集と「地政学リスク」への視座

では、経営者としては、どのような対応が求められるのであろうか。実務上の正確で詳細な解説としては、脚注２にかかげた国や公的機関の資料などが参考になる。

しかしながら、本稿では、サイバー対処能力強化法が民間企業に報告義務などを課すようになった背景（内閣府　法律概要説明資料）を理解すべく、「地政学的リスクに起因するサイバー攻撃」が民間事業者の経営にも影響を及ぼし得るという点に着目したい。情報戦を含むこの「地政学的リスクに起因するサイバー攻撃」は、独立行政法人情報処理推進機構の「情報セキュリティ10大脅威 2026」第６位（組織向け）でもある。

３．ドラマ『GCHQ』にみる現代の情報戦と「反射制御（反射統制）」

現実とフィクションとは峻別すべきであるが、英国の公共サービス放送局チャンネル4で放送されたドラマ『GCHQ：英国サイバー諜報局』シーズン１（amazon配信）　は、そのリスクをよく描いている。このドラマでは、敵国の能力や意思を弱体化させるため、SNSでの情報操作、民間事業者へのサイバー攻撃、フェイク映像などを利用して社会に混乱や不安を生じさせ、その後、相手国の戦略的意思決定を誘導する「反射制御（反射統制）」という手法が描かれる。民間企業に対するサイバー攻撃が、単なる情報窃取や金銭的利益の獲得にとどまらず、より大きな国家戦略の一部として利用され得るという認知戦・情報戦の視点は、2026年夏から秋にかけて多数の民間企業へサイバー攻撃が行われ情報流出が相次いで公表されている現在の日本において、頭の片隅に置いておきたい視点である（脚注３）。なお、ドラマでは、重要インフラ事業者だけではなく、思いもよらない民間事業者が侵害を受け、それが社会不安を増大させていく様子も描かれる。視聴者としては、市井の民間事業者であってもセキュリティ侵害から事業を守り日々の業務を滞りなく進めることが結果として社会の秩序維持に役立つことを認識させられる。他方、人々が容易には分断されない経済社会をつくりあげておくことも、重要な安全保障の一つであると気づかされる。

４．AI技術の進化と名作『攻殻機動隊』が提示した未知の脅威

もうひとつ理解いただきたい点として、AI技術の進展がもたらす未知の脅威である。2026年夏から秋にかけて日本国内で相次いだ民間事業者へのサイバー攻撃に使われた可能性のあるサーバーでは、攻撃者がAIを利用して既知の脆弱性の探索やAPI経由の攻撃などを行った証跡が確認されている（一般社団法人JPCERTコーディネーションセンター　連続不正アクセス事案の攻撃手法に関する調査）。では、AIがさらに高度化したとき、そうしたサイバー攻撃の姿を我々は想像できるだろうか。

1995年に押井守監督によって製作されたアニメ映画「Ghost in the Shell/攻殻機動隊」（amazon配信、netflix配信、hulu配信、unext配信）では、サイバー空間への侵入や情報操作が日常化し、高度なAIも存在する社会が描かれる。そうした中（以下、ネタバレ注意）、物語の中心となるのは、もともと政府機関が対外的な情報収集や工作活動のために開発した高度な人工知能プログラム「プロジェクト2501」である。このプログラムが情報ネットワークの中で自我を獲得し、開発者の意図を超えて行動していく。なお、この作品は、士郎正宗氏によって連載された漫画『攻殻機動隊』を原作にしたものであるが、サイバー侵害を描いた原作が、生成AIはおろか、インターネットが普及する前の1989年から1990年にかけて生み出されたという事実にも驚かされる。我々も、クリエーターの生み出す作品の力を借りながら、想像力豊かに、経営環境の変化を感じ取っていきたい。

５．激変する経営環境下における「リスク認識」のアップデート

経営者が、世の中で起こっている事象の専門知識（今般でいえばサイバーセキュリティ、情報戦、AI）をすべて理解することは現実的ではない。しかし、経営者には、企業内外の経営環境の変化を捉え、新たなリスクを認識して対応することが求められる。こうしたリスクへの対応が、新たな収益機会につながることもある。当ブログでは、時事問題に触れながら、経営者が認識すべき新たなリスクについて、今後も紹介していきたい。

脚注

脚注１　2026年7月改訂のコーポレートガバナンスコードでは、原則4-4に関する解釈指針において、サイバーセキュリティリスクや地政学的要因等による複数のリスクが全社的リスクの例として挙げられ、また、こうしたリスク対応が収益機会にもつながり得ると明示された。

脚注２　企業のサイバーセキュリティ対応で参考となる国や公的機関の資料例

脚注３　2026年に日本国内で相次いだ情報流出事件について、外国政府が関与した国家的な情報戦の一環であると確認されたわけではない。経営者としては、今後のサイバー攻撃がこのような目的で行われる可能性も、リスク認識の一つとして持っておく必要があるという趣旨である。