从事件响应出发，探讨如何增强网络应对能力
本文的作者
董事长兼首席执行官
金筑 敬晃
本文并非法律解说文章，如需准确信息，请务必向律师或主管行政机关确认。
2026年10月，《网络应对能力强化法》及其配套法案将正式施行。
虽然媒体报道往往只关注“主动网络防御”、政府对通信信息的利用以及对攻击服务器的无害化措施，但对企业安全负责人而言，实际影响最大的其实是那些看似不起眼的部分。即以安全事件“发现”为起点向国家报告的义务，以及支撑这一义务的资产申报和官民信息共享机制。
本文并非对法律条文逐条进行解读，而是从“从事件应对一线的角度来看，该法律究竟提出了哪些要求”这一视角进行梳理。简而言之，该法律关注的并非撰写报告的能力，而是是否建立了一套能在应对事件的同时，留下符合报告要求的、质量过关的事件记录的机制。
1. 首先，最基本的前提知识
《网络应对能力强化法》（正式名称：《关于防止因针对重要电子计算机的非法行为而造成损害的法律》）于2025年5月16日通过，同月23日公布，主要内容将于2026年10月1日施行。该法主要包含四大支柱。
参考：第217届国会（常会）议案信息——《关于防止因针对重要电子计算机的非法行为而造成损害的法律草案》
加强官民合作（资产申报、事件报告、官民协商会）
通信信息的使用（为检测攻击而获取和分析通信信息）
访问与无害化措施（警方和自卫队对攻击基础设施的应对措施）
完善组织与体制（国家网络统筹室、网络通信信息监管委员会等）
其中，对企业产生直接义务的是第1项“官民合作”部分。直接适用的对象是与《经济安全保障推进法》中骨干基础设施制度相衔接的15个行业、约257家“特别社会基础设施运营商”（即所谓的核心基础设施运营商）。电力、燃气、自来水、通信、金融、航空、铁路等行业均属于此范畴。
如果您认为“我们公司不在257家企业之列，所以与我们无关”，请再继续读下去。从义务的设计来看，其影响范围不仅限于申报对象设备的定义，还会通过供应链向外大幅扩展。
2. 将法律融入事件响应的生命周期
让我们将该法律的要求叠加到事件响应的标准生命周期（准备 → 检测与分析 → 遏制、根除与恢复 → 事后分析）之上。这样一来，便能看出该法律实质上是一部“在事件响应流程的各个阶段增加国家这一利益相关方的法律”。
准备阶段：资产管理成为法定义务
相关企业有义务在引进或变更“特定重要计算机”时，向主管部门部长申报产品名称、型号等信息。
作为事件响应的实务人员，应重点关注的是“特定重要计算机”的定义。其范围不仅包括承担核心业务的系统本体，还涵盖“在遭受网络攻击时可能导致特定重要设备功能停止或下降的设备”，其中包括防火墙、VPN设备、认证服务器、DMZ内的设备、访问控制设备等。
近年来重大安全事件的初始入侵途径，恰恰是VPN设备及认证基础设施中的漏洞。也就是说，该申报制度的设立初衷，正是为了让国家能够掌握攻击者首先接触的资产；反过来说，如果企业方面未能在平时就对“可能成为入侵途径的资产”进行登记管理，就无法履行申报义务。
在事件响应领域，人们一直认为“事件响应的质量取决于准备阶段”以及“不了解自身资产的组织无法确定受影响范围”。可以认为，该法律正是将这一经验教训转化为法律义务。
检测与分析阶段：报告的时钟从“认知”开始运转
在本法关于安全事件报告义务（第5条）的规定中，在安全事件应对实务中最为关键的一点是，报告的触发条件是“察觉到特定侵权事件发生之时”。既不是在损害确定之时，也不是在调查完成之时。
此外，报告对象不仅限于造成实际损害的事件。
若发现“可能导致该损害的事件”，即所谓的“险情”，也属于报告义务的范围。
这对事件响应现场而言意义重大。
“这是安全事件还是单纯的警报？”这一分级判断本身，将决定法律义务何时产生
如果不记录“何时、谁、认知了什么”，事后就无法证明已妥善履行了报告义务
如果不厘清SOC和MDR供应商的上报标准与法律意义上的“知悉”之间的关系，外部承包商将面临报告遗漏或延迟的风险。
许多组织的事件响应手册都是以“重大事件声明”为起点展开的，但根据该法律的规定，从声明发布前的分级处理阶段起就需要保留证据。
防控与恢复阶段：政府可成为应对工作的主体
《维护法》中规定，为防止重大危害，政府可采取访问和消除危害措施。有观点指出，若骨干基础设施运营商的合作伙伴系统被用作攻击跳板，该合作伙伴的系统也有可能成为措施的对象。
此外，对于违反报告义务或应对不当的情况，主管大臣将下达整改命令；若不予遵守，将被处以罚款（违反申报义务者最高200万日元）。虽然罚款金额本身并不高，但实际操作中的真正风险并非罚款本身，而是因收到整改命令这一事实导致合作伙伴信任度下降，以及在事件应对过程中监管机构会同步介入。必须在事件应对的指挥体系（事件指挥官体制）中，明确纳入“应对监管机构”这一职责。
后续活动阶段：报告与信息共享要求将“学习”成果外化
以往，事后回顾（Post-Mortem）是企业内部为防止事件再次发生而开展的活动。根据本法，通过事件报告，相关信息将汇总至国家层面，由国家网络安全统筹室进行分析，并用于向其他运营商发出警示等。此外，预计2026年秋季将成立一个由关键基础设施运营商、安全供应商及政府机构等参与的新官民协商会，届时将开始在平时和紧急情况下相互共享威胁信息。
也就是说，将从本企业安全事件中获得的技术洞见（攻击技术信息、IoC等）以可共享的粒度和格式进行结构化整理并留存，这已不再仅仅是最佳实践，而是逐渐成为制度层面的前提。
3. 报告实务将如何开展：统一格式与窗口一元化
虽然似乎能听到“又要增加一个汇报对象了吗”这样的哀叹声，但这里也有个好消息。
目前，日本企业在发生安全事件时应履行的报告和咨询义务，分散在多个制度之中，包括根据《个人信息保护法》向个人信息保护委员会报告、根据各类行业法律向主管部门报告事故，以及向警方通报和咨询等。鉴于《强化法》规定的报告义务将加入其中，政府正在推进建立统一处理这些事项的机制。
第一阶段（2025年10月起）：开始采用关于DDoS攻击和勒索软件事件的统一报告格式（国家网络统筹室《关于统一因网络攻击造成损害时的事件报告格式的通知》）
第二阶段（配合《强化法》报告义务的实施）：完善报告受理系统，实现窗口统一。计划通过一个系统，即可一并完成向主管部门及个人信息保护委员会的报告，以及向警方的咨询。
从事件响应实务的角度来看，这意味着“报告书”将逐渐从自由撰写的文档，转变为具有预定义字段的结构化数据。统一格式中包含以下项目：事件概要、事实经过、受影响设备的类型及数量、系统运行状况、攻击技术信息以及公开情况等。
这些信息都是在事件响应过程中自然产生的。如果能够建立一套将响应时间线、受影响资产以及检测到的攻击手法进行结构化记录的运营机制，那么编写报告只需“转录”即可。反之，如果信息分散在Slack的对话线程和个人笔记中，要在截止日期前整理出报告，这将成为最耗费响应资源的工作。
4. 从走在前面的欧盟中解读“下一步”
若将日本的这一制度设计置于国际潮流的背景下，便更容易推测其未来的发展方向。参考基准是欧盟的《NIS2指令》。
NIS2规定，包括关键基础设施在内的广泛领域的运营商，必须针对重大事件履行多阶段的限时报告义务： 24小时内发出早期预警 → 72小时内提交事件通知（包括严重性及影响的初步评估，如可行则应包含IoC）→ 1个月内提交最终报告 。违规时的罚款最高可达1,000万欧元或全球销售额的2%，达到GDPR级别的标准。美国的CIRCIA也规定了重大安全事件须在72小时内、勒索软件攻击须在24小时内报告的时限，这种“以发现为起点、限时、多阶段”的报告模式正在日美欧三地趋于一致。
※参考：普华永道（PwC）关于欧洲网络安全法规的解读，何为NIS2指令
目前日本的《网络安全强化法》并未像《NIS2》那样明确规定严格按时间节点进行多阶段报告。但值得注意的是，在法案审议过程中，新增了3年后进行审查的规定。（※参考：日经X TECH 主动网络防御相关法案在众议院获得通过，修正案中增加了强化国会报告及3年后重新审议的规定）
鉴于欧盟在将NIS指令修订为NIS2时大幅扩大了适用行业范围并收紧了报告期限，可以预见，在日本进行重新审议时，以下发展将成为一种现实的可能情景。
扩大适用行业及经营主体范围（从目前的257家企业，扩展至更广泛的“重要经营主体”）
明确报告期限和阶段（向NIS2型24小时/72小时/1个月模式靠拢）
向供应链（受托方、供应商）报告义务的波及——目前，当交易伙伴遭受攻击时是否存在报告义务尚不明确，这一“空白”本身可被解读为未来监管范围将进一步扩大的预兆
目前对核心基础设施运营商提出的要求，极有可能在几年后扩展到更多企业。这就是为何即使不在适用范围内的企业，也不能将该法律视为“与己无关”的原因。
5. 从事件响应机制的角度出发，现在应做哪些准备
基于以上内容，从事件响应的角度出发，我们将应做的准备工作归纳为以下5点。
（1）将资产台账与事件记录关联起来
对可能属于特定重要电子计算机的设备（边界设备、认证基础设施、访问控制）进行盘点并建立台账。在此基础上，确保在发生事件时能够立即查明“哪些已申报资产受到了影响”。这是因为申报与事件报告是参照同一台账、构成一体化的制度。
（2）将“知悉”的定义和分级处理标准形成书面文件
哪些警报、哪些升级情况应视为“知悉”。在合同和运营层面，与SOC、MDR等受托方就升级标准与报告义务之间的关系达成一致。
（3）建立将时间线作为响应副产物的运作机制
按时间顺序记录检测时间、知晓时间、各项判断以及已采取的措施。不应增加仅用于报告的工作量，而应建立一套机制（工具、模板），使响应记录本身直接成为报告材料。NIS2特意明确规定“不得因报告义务而占用事件响应资源”，正是因为这种情况往往容易发生。
（4）将向当局的报告纳入事件指挥体系
由谁确定报告内容，由谁与主管部门进行沟通？在包括公关、法务及管理层在内的上报流程中，明确“应对当局”的职责。在演练（桌面演练）的场景中也应包含报告流程。
（5）设计与受托方及集团公司的报告流程
如果本公司是核心基础设施运营商，应将系统运营受托方报告安全事件的义务及期限写入合同。如果本公司是供应商，应建立能在规定期限内提供信息（受影响设备、攻击技术信息）的机制，以支持客户的报告义务。
结语：本法是一部“记录法”
《网络应对能力强化法》虽然打着“主动网络防御”这一响亮旗号，但从企业实务的角度来看，其本质是一部要求事件应对工作透明化与结构化的法律。
拥有哪些资产（申报）。何时发现了什么（报告触发条件）。如何应对以及获得了哪些信息（报告与信息共享）。所有这些的共同点在于“在应对的同时，留下可验证的记录”这一点。
此外，这也是即使没有相关法律，优秀的事件响应团队自古以来一直秉持的做法。可以说，2026年10月的施行，将标志着一个转折点——届时，具备这种纪律性的组织与不具备此类纪律性的组织之间的差异，将以合规性的形式从外部显现出来。
参考（一手信息·主要来源）
本文的作者
董事长兼首席执行官
金筑 敬晃
SIGQ股份有限公司 代表董事
毕业于筑波大学研究生院，专业为数据库与分布式系统。
在AI时代不可或缺的、负责处理运营数据（即非结构化、实时信息）的工程师。
应届毕业后加入Money Forward股份有限公司。曾外派至越南分部，在包括海外在内的开发一线从事管理和开发工作。
2022年加入Plaid股份有限公司，负责平台工程（Platform Engineering）工作，参与大规模分布式数据系统的开发。
2024年创立SIGQ株式会社。
分享这篇文章
实用文章一览
