サイバー攻撃による情報漏洩やサービス停止が相次ぐなか、私たちは生活のすべてをネットワークに委ねてよいのでしょうか。必要なのは、接続や情報保管の範囲を選び直し、障害時にも暮らしが続く仕組みをつくることです。本稿では「情報鎖国」を問題提起の言葉として、AI時代の防御の限界と、アナログの代替手段を残す社会のあり方を考えます。
「情報鎖国」とは何を守るための考え方なのか？
本稿でいう「情報鎖国」とは、重要な情報や機能を無条件につながず、接続の必要性と範囲を選び直す考え方です。
「鎖国」という言葉からは、海外との通信遮断や情報統制を連想するかもしれません。本稿では、国民の情報へのアクセスや国際交流を制限する政策ではなく、社会のデジタル依存を問い直すための表現として用います。
オンライン申請、買い物、送金など、ネットワークによって得られる利便性は大きなものです。一方で、情報を集め、サービスを連携させるほど、事故が起きた際にどこまで影響するかを把握する必要があります。
そこで問いたいのは、「接続できるか」に加えて「接続し続ける必要があるか」です。本人確認のために受け取った書類を保管し続ける理由や、重要な業務を外部から操作できる範囲も、改めて点検すべきでしょう。
つなぐことを標準とする社会から、必要性を確かめてつなぐ社会へ移ることが、ここでの提言です。その判断は企業内部の都合だけでなく、情報を預ける利用者の安全と、事故時の生活への影響を基準に行う必要があります。
AI時代に「攻撃を完全に防ぐ」という前提は通用するのか？
AIによる攻撃の効率化を踏まえると、侵入防止に加え、侵入後の被害拡大と生活への影響を抑える設計が必要です。
英国政府は2026年6月の議会答弁で、NCSCが2025年5月に公表した評価に言及しています。その内容は、AIがサイバー侵入活動の一部を効率化し、脅威の頻度や強度を高めるというものです。UK Parliament
ただし、これをもって「どのような防御も無意味になる」とは言えません。NCSCは2026年4月の資料で、防御へのAI活用にも可能性を認めつつ、その導入には検証や監督が必要であり、基本的な対策を優先すべきだとしています。
防御の成否だけで安全を評価しない
例えば、侵入された端末から重要なデータへ自由に到達できる仕組みと、アクセス権限や接続範囲を分けた仕組みでは、被害の広がり方が異なります。防御の壁に加えて、壁を越えられた後の備えも問われます。
社会の安全を考える際も同様です。決済や行政サービスが停止したとき、別の方法で必要な手続きを続けられるかまで確認して、初めて生活を守る対策になります。
「攻撃を受けなかった」という結果だけでは、備えの実力は分かりません。侵入を早く発見し、影響を限定し、安全を確認して復旧できるかという過程も、評価の対象にすべきでしょう。
GMOの事案は企業の安全管理に何を問いかけるのか？
GMOの事案では、公表された不備の検証と、国に求める対応の役割を分けて考える必要があります。
GMOインターネットは2026年10月24日、「お名前.com デスクトップクラウド」にセキュリティ上の問題が存在したと公表しました。不正アクセスと顧客情報の持ち出しを確認し、一部の利用者から身に覚えのない取引の報告を受けたと説明しています。
同社は政府関係機関に、能動的サイバー防御に関する措置の実施も要請しています。ただし、これは同社が要請したという事実であり、政府による実施の決定や、その有効性が確認されたことを意味しません。
グループ内にセキュリティの専門会社を持つ企業で起きた事案だけに、利用者が安全管理の実効性を厳しく問うのは当然です。専門家の存在や技術力の宣伝が、個々のサービスの安全を保証するわけではないことも示しています。
もっとも、攻撃を受けた事実だけから、日本のIT人材全体の能力を断定することはできません。問うべきは、対象サービスで必要な対策が取られ、問題の発見や修正に必要な判断が行われていたかです。
国との連携が必要であっても、事業者自身の検証は欠かせません。原因、影響範囲、補償の扱い、再発防止について、利用者が判断できる説明を求め続ける必要があります。
個人情報は「守る量を減らすこと」が出発点である
個人情報の保護は、保管した情報を厳重に守る対策に加え、不要な収集と保管を減らすことから始まります。
本人確認に必要な情報と、その後の業務で保有し続ける必要がある情報は、必ずしも同じではありません。「将来使うかもしれない」という理由で情報を残せば、その分だけ管理し続ける責任も生じます。
IPAは2026年10月9日の注意喚起で、事業者に対し、保有する情報を把握し、必要最小限にするなどの再点検を求めています。情報を集める段階から保管の必要性を考えることは、被害を小さくするうえでも重要です。
本人確認を終えた後の保管も点検する
例えば、登録時に本人確認書類の画像を受け取るサービスなら、確認後も画像そのものが必要なのかを検討すべきです。法令上の保存義務や業務上の必要性を確認したうえで、保存対象と期間を明確にすることが求められます。
本稿では、情報の収集と保管について、次の点検を提案します。利用者に入力を求める時点で説明できる程度に、目的と取扱いを具体化する必要があります。
- その情報は、サービス提供に本当に必要か
- 原本や画像を残さず、確認結果の記録で目的を満たせないか
- 保管期間と削除手順が決まっているか
- 委託先や連携先へ渡す情報を絞れるか
すべての情報を直ちに削除できるわけではありません。それでも、必要な保存と漫然とした蓄積を分けることで、守る対象を整理できます。
また、氏名や住所、生年月日を知っていることだけで、本人だと判断する仕組みも見直す必要があります。漏れる可能性のある情報と、重要な操作を認めるための確認を、安易に同一視しない設計が大切です。
アナログ回帰は社会の安全を高める選択肢なのか？
紙・窓口・現金などを使える状態で残すことは、オンラインの仕組みが停止した際の生活を支える選択肢です。
アナログの手段を残す意義は、障害時に使える別の経路を確保することにあります。例えば、通常はオンラインで受け付ける手続きを、停止時には窓口で仮受付できれば、申請の機会を失わずに済みます。
ただし、窓口を残していても、職員が同じシステムを開けなければ何もできないのであれば、代替手段としては機能しません。受付、記録、本人確認、復旧後の処理まで、実際の業務を想定する必要があります。
「残してある」から「切り替えられる」へ
本稿が提案するアナログ回帰は、重要な場面で別の方法を選べる状態を維持することです。具体的には、次のような備えが考えられます。
- 行政手続きで、停止時の窓口受付や期限の扱いを決めておく
- 店舗で、現金など別の支払い方法と会計手順を用意する
- 必要な連絡先や業務情報を、安全に管理した別の形でも参照できるようにする
- システム停止を想定し、切り替えと復旧後の照合を訓練する
こうした対応には、人員や保管場所、教育の費用がかかります。しかし、その費用は通常時の効率だけでなく、停止によって生じる損失や、利用者が受ける不利益と比較して判断すべきです。
紙にも紛失や盗難があり、電話にもなりすましがあります。アナログであれば安全と考えるのではなく、オンラインと同時に使えなくならない方法を選び、それぞれに必要な管理を行うことが大切です。
特に、生活に不可欠な手続きについては、スマートフォンや特定のアプリが使えない人も利用できる経路を確保したいところです。障害への備えと利用機会の確保を、同じ社会設計の問題として考える必要があります。
人材不足を理由に経営と行政の責任を曖昧にしてよいのか？
安全を支えるには、専門人材の確保とともに、その知見を判断や運用へ反映させる責任体制が必要です。
「優秀な技術者を集めれば解決する」と考えるだけでは、組織の備えを十分に評価できません。仮に現場が危険を指摘しても、修正の予算や停止の判断が認められなければ、安全性の改善につながらないからです。
日本でも、デジタル庁は民間専門人材を任用し、兼業・副業も可能とする仕組みを設けています。したがって、民間人材を登用する制度の有無だけでなく、確保した人材が実際に能力を発揮できるかを検証する必要があります。
企業や行政の説明についても、導入した製品や資格保有者の人数だけで安心を判断すべきではありません。本稿では、組織の備えを確認する観点として、次の項目を提案します。
- 危険が見つかった際、修正や停止を判断する責任者が明確か
- 重要な情報へのアクセス範囲を把握し、点検しているか
- 委託先を含めた事故対応の役割が決まっているか
- 被害者への説明、相談、救済を進める体制があるか
事故後の発表では、判明した事実と調査中の事項を分けることも大切です。専門的な説明だけで終わらず、利用者が何を確認し、どう行動すればよいかを伝える必要があります。
海外との接続を制限しても、国内の運用ミスや内部の不正までなくなるわけではありません。「情報鎖国」という言葉を、接続先の国だけで安全を判断する理由にせず、情報の持ち方と責任の所在を問い直す入口にしたいところです。
まとめ
「情報鎖国」という問いから導きたいのは、接続や情報保管を選び直し、漏洩や停止が起きても暮らしと権利を守れる社会への転換です。
防御技術への投資を続けながら、不要な個人情報を減らし、重要な機能への接続範囲を絞る必要があります。同時に、紙・窓口・現金などを使う経路を維持し、必要なときに切り替えられる状態を整えることが大切です。
企業や行政が目指すべき安全は、「問題が起きない」と説明することだけでは測れません。問題が起きても被害を限定し、人々が生活を続け、適切な救済を受けられるかまで含めて、デジタル化の価値を評価すべきでしょう。
主な参考資料
- GMOインターネット「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）」（2026年10月24日）
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日公開）
- 英国議会・科学技術イノベーション省答弁「Written question HL699」（2026年6月18日回答、NCSCの2025年5月公表資料に言及）
- 英国NCSC「Supporting AI adoption for UK cyber defence」（2026年4月23日）
- デジタル庁「条件と働き方・制度・取組【中途採用（専門人材）】」（2026年7月15日更新）