- 2025年、なぜ今サイバーセキュリティ法改正が重要なのか？
- 【総まとめ】2025年に注目すべき主要な法改正・ガイドライン改訂
- 法改正・ガイドライン改訂を踏まえ、企業が今すぐ着手すべき3つの対策
- まとめ：法改正は「守り」から「攻め」のセキュリティへの転換点
こんにちは、東証プライム上場企業で情報システム部のセキュリティ担当をしている城咲子です。CISSPとCCSPを保有し、日々サイバーセキュリティの最前線で奮闘しています。
2025年は、日本のサイバーセキュリティ政策が大きく動く、まさに「転換点」とも言える年です。経済安全保障の流れを汲んだ新しい法律の施行、国家レベルでの防御力強化、そして私たちの生活に身近な個人情報保護のルール見直しなど、企業の情報システム・セキュリティ担当者として押さえておくべきトピックが目白押しです。
「法改正が多くて、何から手をつければいいかわからない…」 「自社にどの法律が関係するのか、具体的に知りたい」
そんな悩みをお持ちの方も多いのではないでしょうか。この記事では、2025年に施行・改訂される主要な法律やガイドラインの全体像を網羅的に解説し、企業が今すぐ取るべき具体的な対策まで、専門家の視点から分かりやすく紐解いていきます。
2025年、なぜ今サイバーセキュリティ法改正が重要なのか？
近年、DX（デジタルトランスフォーメーション）の加速により、私たちのビジネスはますますデジタル空間に依存するようになりました。その一方で、ランサムウェア攻撃やサプライチェーンの脆弱性を狙った攻撃は巧妙化・悪質化の一途をたどっています。
こうした状況を受け、日本政府もサイバー空間の脅威を国家安全保障上の重要な課題と位置づけ、対策を強化しています。特に、攻撃の予兆を検知し、被害を未然に防ぐ「能動的サイバー防御」の導入に向けた議論は、これまでの「守り」中心だったセキュリティ政策からの大きなパラダイムシフトと言えるでしょう。
私たち企業にとって、これらの法改正は単なる「守るべきルール」ではありません。法を遵守し、セキュリティ体制を強化することは、事業継続性を確保し、顧客や取引先からの信頼を獲得するための根幹であり、経営リスク管理そのものなのです。
【総まとめ】2025年に注目すべき主要な法改正・ガイドライン改訂
それでは、具体的に2025年にどのような法改正やガイドラインの改訂があるのか、主要なものを5つピックアップして見ていきましょう。
1.【2025年5月施行】重要経済安保情報保護・活用法（セキュリティ・クリアランス制度）
今回の法改正で最も注目度が高いものの一つが、セキュリティ・クリアランス制度を導入する「重要経済安保情報保護・活用法」です。これは、安全保障に関わる重要な情報（重要経済安保情報）へのアクセス権を、信頼性が確認された人に限定する制度です。
- 目的: 経済安全保障上、特に機微な情報の漏えいを防ぐ。
- 企業への影響:
- 防衛、宇宙、サイバーセキュリティなどの重要分野で政府と契約する企業は、「適合事業者」としての認定が必要になる可能性があります。
- 重要情報を取り扱う従業員は、身辺調査を含む「適性評価」を受ける必要があります。
- 罰則: 情報を漏えいした場合、5年以下の拘禁刑もしくは500万円以下の罰金、またはその両方が科されるなど、厳しい罰則が設けられています。
政府調達に関わる企業はもちろん、そのサプライチェーンに含まれる企業も無関係ではありません。自社の事業が対象となるか、早期に確認が必要です。
2. サイバーセキュリティ基本法・関連法改正の動向：能動的サイバー防御の導入
現在、政府が導入を目指しているのが「能動的サイバー防御」です。これは、サイバー攻撃の予兆を察知した場合に、攻撃者のサーバーに侵入して無力化するなど、より積極的な防御措置を講じることを可能にするものです。
- 目的: 重大なサイバー攻撃被害を未然に防ぎ、国民の安全を守る。
- 現状: 2025年の通常国会での関連法案成立を目指し、議論が進められています。
- 企業への影響:
- 現時点では、政府機関が主体となる防御措置が想定されていますが、将来的には官民連携が一層強化され、企業側にも情報提供などの協力が求められる可能性があります。
この動きは、日本のサイバーセキュリティ全体の方向性を知る上で非常に重要です。より詳細な日本のサイバーセキュリティ法規の全体像については、こちらの記事も併せてご覧ください。
3. 個人情報保護法：「3年ごと見直し」に伴うガイドライン改正
個人情報保護法は、社会情勢の変化に対応するため、3年ごとにルールを見直すことが定められています。2025年もこの見直し時期にあたり、現在、個人情報保護委員会で議論が進められています。
- 主な論点:
- 漏えい時の報告・通知義務の見直し: 現行ルールでは、漏えいした情報の種類に関わらず本人への通知が原則義務付けられていますが、よりリスクベースでの対応への見直しが検討されています。
- 違法な第三者提供への対応強化: 名簿業者などを経由した不正なデータ流通への対策が強化される見込みです。
- 課徴金制度の導入検討: 重大な法令違反に対するペナルティとして、課徴金制度の導入が議論されています。
これらの改正は、企業のインシデント対応やデータガバナンスに直接的な影響を与えます。日頃から個人データを取り扱うすべての企業にとって、注視すべき重要なトピックです。
4. 不正競争防止法：限定提供データの保護強化
ビッグデータやAIの学習用データなど、企業が多大なコストをかけて生成・収集したデータは、競争力の源泉です。不正競争防止法では、こうしたデータを「限定提供データ」として保護していますが、法改正によりその保護範囲が拡充されました。
- 改正のポイント:
- 従来、「秘密として管理されているもの」は対象外でしたが、改正後は「営業秘密を除く」と変更され、秘密管理性を維持しつつ特定の取引先などに提供されるデータも保護対象となりました。
- 企業がすべきこと:
- 自社が保有する重要なデータ（顧客データ、製造データなど）が「限定提供データ」に該当するか確認し、アクセス管理などの電磁的管理を徹底することが重要です。
5. 国際的なフレームワークの動向：NIST CSF 2.0への対応
法律ではありませんが、グローバルで事業を展開する企業にとって無視できないのが、米国国立標準技術研究所（NIST）が発行する「サイバーセキュリティフレームワーク（CSF）」です。2024年にバージョン2.0が公開され、日本企業にもその考え方を取り入れる動きが広がっています。
- CSF 2.0の主な変更点:
- 対象が重要インフラからすべての組織に拡大されました。
- 新たに「統治（Govern）」の機能が追加され、サイバーセキュリティを経営リスクとして捉え、ガバナンスを確立することの重要性が強調されています。
- サプライチェーンリスク管理がより明確に位置づけられました。
日本の「サイバーセキュリティ経営ガイドライン」もNIST CSFを参考にしているため、CSF 2.0への対応は、結果的に国内の規制やガイドラインへの準拠にも繋がります。
法改正・ガイドライン改訂を踏まえ、企業が今すぐ着手すべき3つの対策
これらの法改正の嵐を乗り切るために、企業は何をすべきでしょうか。私が実務で重要だと考えている3つのステップをご紹介します。
1. 自社に関連する法規制の洗い出しと影響評価
まずは、自社がどの法律の対象となるのかを正確に把握することから始めましょう。
- チェックリストの例:
- [ ] 政府調達や重要インフラ関連の事業を行っているか？ → 重要経済安保情報保護法
- [ ] 顧客や従業員の個人情報を大量に取り扱っているか？ → 個人情報保護法
- [ ] 取引先と重要なデータを共有しているか？ → 不正競争防止法
- [ ] サプライチェーンは複雑か？海外に取引先はいるか？ → NIST CSF 2.0
この作業は、法務部門やコンプライアンス部門だけでなく、私たち情報システム部門や、実際にデータを扱う事業部門を巻き込んで行うことが不可欠です。「自分たちが動くのではなくルールを変えて人と組織を動かす」という私の信条にも通じます。
2. セキュリティ規程・インシデント対応計画の見直し
次に、洗い出した法規制の要求事項を、既存の社内ルールに反映させます。特にインシデント対応計画（IRP）の見直しは急務です。
- 見直しのポイント:
- 報告義務: 漏えい事故などが発生した際の、監督官庁や本人への報告期限・報告内容が法改正で変更されていないか確認する。
- 対応体制: セキュリティ・クリアランス制度で求められるような、特定の担当者しか情報にアクセスできない体制を構築する必要があるか検討する。
- 演習: 新しいルールに基づいたインシデント対応演習を実施し、実効性を確認する。
3. サプライチェーン全体でのセキュリティ対策強化
近年の法改正の潮流として、サプライチェーン全体のセキュリティ確保が一貫して求められています。自社だけが完璧でも、取引先の脆弱性から被害が及ぶケースは後を絶ちません。
- 具体的なアクション:
- 委託先管理規程の見直し: 委託先の選定基準に、法改正を踏まえたセキュリティ要件を盛り込む。
- 契約内容の確認: データ保護やインシデント発生時の連携について、契約書に明記されているか確認する。
- 定期的な監査・評価: アンケートやヒアリングを通じて、委託先のセキュリティ対策状況を定期的にチェックする。
これらの法改正の背景には、実際に発生している深刻なサイバー攻撃の存在があります。具体的な被害事例とその教訓については、【総まとめ】2025年国内サイバー攻撃被害事例｜企業が学ぶべき教訓と対策の記事もぜひ併せてご覧ください。
まとめ：法改正は「守り」から「攻め」のセキュリティへの転換点
今回は、2025年に注目すべきサイバーセキュリティ関連の法改正・ガイドライン改訂について網羅的に解説しました。
- 重要経済安保情報保護法（セキュリティ・クリアランス）
- 能動的サイバー防御の導入
- 個人情報保護法ガイドラインの改正
- 不正競争防止法の改正
- NIST CSF 2.0への対応
これらの動きは、私たち企業に新たな対応を迫るものですが、見方を変えれば、自社のセキュリティ体制を根本から見直し、より強固なものへと進化させる絶好の機会です。
法改正への対応は、単なるコンプライアンス活動（守り）に留まりません。セキュリティを強化し、顧客や社会からの信頼を勝ち取ることは、企業の競争力を高める「攻めの経営戦略」そのものと言えるでしょう。
この記事が、皆さんの会社のリスク管理と事業成長の一助となれば幸いです。
