基幹インフラ制度

工場の生産設備や、電力・ガス・水道などの社会インフラを動かす制御システム（ICS、OT）を守るための対策。停止できないため可用性と安全性が最優先され、機器の更新周期が長くパッチを適用しにくいという制約がある。かつては閉じたネットワークなので安全とされたが、ITとの接続が進んだため、ネットワークの分離とゾーン分割、通信の監視、IEC 62443などの規格に基づく対策が求められている。

サイバーセキュリティ基本法第6条が定める、重要社会基盤事業者の努力義務。重要社会基盤事業者とは、電力、通信、金融など、機能が停止・低下すると国民生活や経済活動に多大な影響を及ぼすおそれがある事業を行う者（重要インフラ事業者）で、サービスを安定的かつ適切に提供するため、自主的かつ積極的にサイバーセキュリティの確保に努め、国や地方公共団体の施策に協力するよう努めるものとされる。

能動的サイバー防御を実現するための法律で、正式名称は「重要電子計算機に対する不正な行為による被害の防止に関する法律」（2025年5月成立）。基幹インフラ事業者（特別社会基盤事業者）に重要な機器の導入の届出とインシデントの報告を義務付けて官民連携を強化し、政府による通信情報の取得・分析を定め、同時に成立した整備法で攻撃に使われるサーバへのアクセス・無害化措置を可能にした。2026年10月に主要部分が施行され、通信情報の利用に関する規定は公布から2年6か月以内に施行される。

業務やシステムの開発・運用、クラウドサービスの利用などを外部に委託する際に、委託先の選定、契約、委託中の監督・評価、委託の終了までを通じてリスクを管理すること。委託しても業務の結果に対する責任は委託元に残るため、委託先や再委託先に起因する情報漏えい、サービスの停止、法令違反などの第三者リスクを評価し、契約で管理策や監査の権利を定める。

ソフトウェアの開発や配布の過程に介入し、正規のソフトウェアやその更新プログラム、利用されているオープンソースのライブラリなどにマルウェアを混入させて、利用者に広く感染させる攻撃。アップデートの配信経路の悪用が代表的で、SBOMによる構成部品の把握や署名の検証で対策する。

サプライチェーンを構成する企業のセキュリティ対策の水準を、★の段階で評価して可視化する制度。経済産業省と国家サイバー統括室が監督し、IPAが運営する。全企業が最低限目指す★3は専門家の確認付きの自己評価、より高い水準の★4は評価機関による第三者評価で、2027年3月に申請の受付を始める予定である（★5は検討中）。