能動的サイバー防御法(ACD法)対応を、Splunkで実現する〜検知・報告・情報共有を一体化するインシデント対応プロセスの設計〜

Industries July 09, 2026 福澤洋樹 , 小菅ゆな

はじめに：ACD法とは何か？

2025年5月に成立した 能動的サイバー防御法(ACD法) のうち、基幹インフラ事業者への主要な義務(資産届出・インシデント報告・協議会)が2026年10月1日に施行されます(法令の全体像と適用範囲は関連ブログ「能動的サイバー防御(ACD)への備え」をご参照ください）。

従来の「被害を受けてから対処する」という受動的な防御姿勢から脱却し、攻撃を能動的に検知・阻止し、迅速に報告・情報共有することを法的義務として定めるものです。

対象は、金融・電気・電気通信・鉄道・水道など15業種の基幹インフラ事業者。これら事業者に課せられる義務のうち、サイバー攻撃を受けた場合の対応として主に下記の3つの対応^※が必要となります：

<表：基幹インフラ事業者によるインシデント報告等の義務>

義務※

内容

能動的検知・阻止

攻撃の兆候を事前に検知し、被害発生前に遮断・対処すること

迅速な報告

インシデント発生後、法定時間内に所管省庁へ報告すること

官民情報共有

脅威情報を政府・NCO (国家サイバー統括室)と双方向で共有すること

※ACD法で定められた基幹インフラ事業者の義務事項のうち、個別のインシデントへの対応として必要となるものを抜粋。他、特定重要電子計算機の届出対応や脆弱性対応などは本稿対象外

背景には厳しい現実があります。不審通信の通報件数は2021年の41件から2024年には238件へと 約5.8倍 に急増。MirrorFace、TraderTraitorといった国家背景を持つAPT (高度持続型脅威)が、基幹インフラを標的とした攻撃を現実に行っています。

「問題が起きてから対応する」では、もはや間に合わない時代が到来しています。

課題の核心：現行体制の「構造的限界」

多くの基幹インフラ事業者が現在直面している課題は共通しています。

LotL (Living off the Land)攻撃：正規ツールを悪用した攻撃はEDR単独では検知できない
手動対応の限界：報告書の作成・提出が法定時間に間に合わない
属人的な情報共有：独自フォーマット・手作業が脅威情報の即時共有を阻害している

これらは個別の検知ツールや連絡方法の改善のみでは解決しません。検知〜報告〜共有を一体的に支える基盤の存在が不可欠であると考えます。

<表：基幹インフラ事業者が直面する課題と解決方針>

基幹インフラ事業者が直面する課題と解決方針

SplunkによるTo-Beプロセス：7ステップで義務を完結させる

Splunkは、ACD法が求めるインシデント対応の義務に対して、7つのプロセスステップを通じた一貫したサポートを提供します。以下に、各ステップとSplunkの機能の対応を説明します。

<表：Splunkを用いたインシデント対応プロセス定義(To-Be)>

Splunkを用いたインシデント対応プロセス定義(To-Be)

STEP 1｜資産情報の可視化

ACD法の要件との接続：能動的検知の前提となる資産把握

ACD法が定める「特定重要電子計算機」を正確に監視するには、IT・OT双方にわたる資産の全体像を把握することが出発点です。

Splunkは、特定重要電子計算機に接続・関連するIT機器・ソフトウェア構成・OT情報を自動・個別収集し、統合管理することで、資産間の関係性を常時把握。インシデント発生時に、影響を受けた資産の特定と、関連システムへの波及範囲の即時評価を可能とします。

(対応機能：Splunk EA (Exposure Analytics) *Splunk ES機能)

STEP 2｜異常検知

ACD法の要件との接続：攻撃の能動的阻止

LotL攻撃のように正規ツールを悪用する高度な攻撃は、単一製品では検知できません。SplunkはIT・OTを横断したリアルタイムログ収集と相関ルールによる行動ベースの異常検知を実現します。

全エンドポイントを横断してLotL行動パターンを検知し、脅威ハンティングクエリを標準化。APTの早期発見を、属人的なスキルに依存せず組織的に実行できます。

(対応機能：Splunk Enterprise / Splunk Cloud Platform (Splunk CORE)、Splunk ES (Enterprise Security)、UEBA (User and Entity Behavior Analytics) *Splunk ES Premier機能)

STEP 3｜初動対応・速報

ACD法の要件との接続：法定時間内の迅速報告(速報フェーズ)

アラート発生から速報送付までの時間が、ACD法対応の最初の関門です。

Splunkは初期対応のプレイブックを自動起動。IT・業務系への影響確認、経営層へのエスカレーション、所管省庁への速報送付までを自動化・標準化し、人手に頼った遅延を排除します。

(対応機能：SOAR (Security Orchestration, Automation and Response) *Splunk ES Premier機能)

STEP 4｜調査・分析

ACD法の要件との接続：報告内容の精度向上・根本原因の特定

速報の後、正式報告に向けた詳細調査が求められます。

Splunkのフォレンジック支援機能により、詳細ログ・証跡を提供し、侵害タイムラインを構築。攻撃手法・経路を特定し、特定重要電子計算機への影響範囲を正確に評価します。IT・OT双方のログを一元的に分析できることが、Splunkの強みです。

(対応機能：Splunk CORE、Splunk ES)

STEP 5｜エスカレーション・報告

ACD法の要件との接続：法定フォーマットによる正式報告

インシデントは、内容・影響・対応状況を整理し、統一フォーマットで経営承認・提出まで完結させる必要があります。

Splunkは報告に必要となる情報(インシデント概要、影響資産、対応履歴、タイムライン等)を自動生成・出力します。これにより、担当者は事象の影響評価と対応判断に注力いただけ、後続の経営層・CISOによる承認から所管省庁への提出を迅速化します。手作業による情報収集工数を大幅に削減し、報告期限の遵守と品質の均質化を実現します。

(対応機能：Splunk CORE、Splunk ES)