総務省がAIサイバー攻撃対応演習を2027年度から開始へ——企業・自治体も対象、令和9年度概算要求に盛り込む

「AIを悪用したサイバー攻撃って、実際にどんな被害が出てるの？」
「演習に参加できるのは大企業や国の機関だけ？中小企業は対象外？」

チップス

ボス、総務省がAIサイバー攻撃に特化した演習を2027年度から始めるって聞いたんでしゅ！企業や自治体も対象になるんでしゅか？

ボス

令和9年度の概算要求に盛り込まれた内容だな。AIを悪用した攻撃は従来の演習では想定しにくかった。国・指定法人・自治体・独法に加えて民間企業も対象にすることで、日本全体の防御力を底上げしようという方針だ。

総務省は2026年8月、AIを悪用した高度なサイバー攻撃を受けた際の対処方法などを学ぶ演習を2027年度から開始する方針を打ち出しました。
対象は国の機関・指定法人・独立行政法人・自治体・民間企業などで、レベル別3コースを設けた演習を令和9年度予算の概算要求に盛り込む方針です。

・総務省が2027年度からAIサイバー攻撃に対応する演習を開始する方針——令和9年度概算要求に反映
・対象は国の機関・指定法人・独立行政法人・自治体・民間企業などと幅広く設定
・生成AIを悪用した攻撃など、従来の演習では想定が難しかった脅威への対処能力向上が目的

この動向を把握することで、自社や自治体のセキュリティ演習計画における今後の選択肢が見えてきます。

なぜ今AI攻撃に特化した演習が必要なのか——背景と政策の流れ

AIを悪用したサイバー攻撃の典型的な手口には以下が挙げられます。

• フィッシングメールの自動生成・大量送付（従来より精度が高く見分けにくい）
• AIによるパスワード解析や脆弱性スキャンの高速化
• 生成AIを使ったなりすましや偽動画・音声による標的型ソーシャルエンジニアリング
• AIで自動化した攻撃シナリオによる組織的な侵害

総務省はこれまでもNICT（情報通信研究機構）を通じ、国の機関や自治体向けにCYDER（実践的サイバー防御演習）を年間100回程度実施してきました。
2027年度の新演習では、AIを悪用した攻撃シナリオへの対処をあらたに学べるよう内容を充実させ、民間企業まで対象を広げる点が従来と大きく異なります。

ボス

AIを使った攻撃はフィッシングの精度が上がり、なりすましも本物と見分けがつかなくなっている。実際にシナリオを体験する演習は、マニュアルを読むより何倍も効果がある。

チップス

民間企業も参加できるなら、うちの情シスも申し込めそうでしゅ！

ボス

参加枠や費用負担の詳細は今後の発表待ちだが、AIを使った攻撃への備えは国の方針として明確に方向が示された。自社のインシデント対応訓練のメニューに加えることを検討する時期だ。

出典: 日本経済新聞 — 総務省、2027年度からAIサイバー攻撃対応演習を実施

まとめ——企業・自治体が今から備えるべきこと

AI攻撃対応の演習参加を待つだけでなく、現時点でできる準備を進めることが重要です。

今すぐ取り組める対応は以下の通りです。

• NICTのCYDER（実践的サイバー防御演習）への参加を検討する——2026年度は47都道府県・年100回程度開催中
• フィッシングメール訓練や標的型攻撃メール訓練を実施し、ソーシャルエンジニアリングへの耐性を高める
• インシデント対応手順（IR計画）を整備し、定期的な机上演習（テーブルトップ演習）を実施する
• 2027年度以降の演習プログラム公募を総務省・NICTの公式サイトで定期的に確認する

ボス

AI時代のサイバー攻撃は、ツールの高度化よりも「人への工作」に拍車がかかる。技術的な防御だけでなく、従業員のリテラシー向上と組み合わせた総合的な対策が欠かせない。

チップス

演習に参加して、うちも対応力を上げるでしゅ！