100社超が署名した「集団サイバー防衛」の公開書簡——守る側の格差にどう備えるか

※ 本記事は2026年9月1日時点の公開情報に基づきます。最新情報は各社公式発表等をご参照ください。

2026年8月27日、「サイバー防衛への集団行動の呼びかけ」と題する公開書簡が公表されました。署名は100社を超え、公開されている署名一覧にはOpenAI、Anthropic、Google、AWS、Microsoft、Oracle、IBM、Cisco、Cloudflare、CrowdStrike、Palo Alto Networks、Adobe、Arm、AMD、Samsung、SAP、Salesforce、ServiceNow、Visa、Mastercard、PayPal、Citi、みずほ、NTT DATA、Toyota Canada、Zurich Insurance Companyなどが並んでいます（出典: OpenAI 署名一覧）。競合関係にある企業が同じ文書に名前を連ねている点に、事態の性格が表れています。

書簡が名指ししたのは「病院と浄水場」

書簡の警告は具体的です。「今後数か月のうちに、世界中のモデルがますます高性能になるにつれ、AIを用いたサイバー攻撃ははるかに広範かつ高度になる」。そして「私たちのコミュニティが依存する企業と公共サービス——病院から浄水場、インターネットを支えるインフラまで——が危険にさらされている」（出典: TechCrunch）。

金融機関でも大企業でもなく、真っ先に挙げられたのが病院と浄水場です。共通点は明白で、セキュリティに人と予算を割きにくい組織であること。日本の中小企業も、構造的にはこの側に立っています。

「攻める側」だけが速くなる非対称

書簡が求めているのは、地方・国・国際の各レベルの政府と民間の連携、そして「セキュリティ基準を引き上げ、新たなサイバー脅威への解決策を見出すための新しいパートナーシップ」の形成です（出典: 同上）。

法務の観点で押さえるべきは、この呼びかけが生まれた背景です。攻撃側は、AIによって工数と専門性の壁を一気に下げられます。一方で守る側は、体制・予算・人材の制約から、同じ速度では強くなれません。非対称が広がる。だからこそ業界横断の呼びかけが必要になった、と読むのが自然です。

中小企業への翻訳——「うちは狙われない」は前提として使えない

高度な対策の前に、確実に効く基本があります。優先順位はこうです。

1. 多要素認証を全アカウントに入れる。 メール、会計、給与、クラウドストレージ。1つでも例外を残すと、そこが入口になります。費用はほぼかかりません。

2. バックアップを「切り離して」持つ。 常時接続されたバックアップは、本体と一緒に暗号化されます。月1回でよいので、接続を切った複製を残す。

3. 請求・振込の確認手順を人に固定する。 生成AIによる文面の巧妙化で、メールの文面だけでは真偽が判別できなくなっています。金額と口座の変更は、必ず別の連絡手段で確認する。この1行を社内規程に入れるだけで、被害の大半は防げます。

大企業がパートナーシップを組むあいだ、中小企業ができるのはこの3つです。派手さはありませんが、実際に事故を止めているのは常にこの層の対策です。

まとめ

• 2026年8月27日、100社を超える企業が「サイバー防衛への集団行動の呼びかけ」と題する公開書簡に署名した。署名一覧にはOpenAI・Anthropic・Google・AWS・Microsoft・Oracle・IBM・Visa・Mastercard・みずほ・NTT DATAなどが並ぶ
• 書簡は「今後数か月のうちに、AIを用いたサイバー攻撃ははるかに広範かつ高度になる」と警告し、病院・浄水場・インターネットを支えるインフラが危険にさらされていると指摘している
• 求めているのは、地方・国・国際の各レベルの政府と民間の連携、およびセキュリティ基準を引き上げるための新しいパートナーシップの形成
• 中小企業が今日から打てる手は、全アカウントへの多要素認証、切り離したバックアップ、金額・口座変更を別経路で確認する規程の3つ

競合同士が同じ文書に署名するのは、単独では対処できないと各社が判断したときです。その判断は、規模の小さい企業にこそ重く響きます。守りの体制を独力で整えるのは難しくても、入口を塞ぐ3つの基本は、今日の午後にでも始められます。備えの有無は、事故が起きた日に初めて価格に換算されると私たちは考えます。