企業が政府に能動的サイバー防御を求めた場合，その公表だけで，国が攻撃元のサーバーに対する措置を決定したことになるわけではない。
企業が何を公表したか，法律がどの機関にどのような権限を与えているか，実際に何が決まったかを分けて確認する必要がある。
本記事は，令和８年１０月２４日１１時５０分時点のGMOインターネット株式会社の公式発表と政府資料に基づき，この区別を整理する。
政府の個別対応については，確認できた範囲を超えて断定しない。
第１ GMOインターネットは何を公表したか
１ 発表主体と対象サービス
GMOインターネット株式会社（証券コード4784）は，「お名前.com デスクトップクラウドサービス」に対するサイバー攻撃について第４報を公表した。
同社は，不正アクセスと顧客情報の外部持出しを確認し，一部の利用者から取引口座の身に覚えのない取引に関する報告を受けたと説明している。
これらは同社の調査・報告内容であり，本記事で被害の全容や個々の取引との因果関係を独立して認定したものではない。
公式発表：https://internet.gmo/news/article/249/
２ 企業による要請と政府の決定
同社は，警察や所管官庁への初報，捜査への協力，影響を受けたシステムのネットワーク接続停止等を説明している。
末尾の政府への具申に関する記載では，本件を能動的サイバー防御の「発動第１号」の事案と位置付け，政府関係機関に緊急要請したとしている。
ここで確認できるのは，企業がそのように位置付けて要請を公表したことである。
「発動第１号」は企業側の表現であって，政府が同事案について初めての措置を決定・実施したことを示す政府発表ではない。
要請文書の原文，具体的な宛先，政府の受理・審査状況，措置の決定・実施については，本記事で確認した公表資料からは確定できない。
政府が実施したとも，実施を拒否したとも断定できない。
第２ 企業の要請だけで措置が決まるわけではない理由
１ 警察のアクセス・無害化措置
整備法によって新設された警察官職務執行法６条の２は，警察庁長官が指名するサイバー危害防止措置執行官の権限を定めている。
同条２項は，加害関係の通信や記録等を認め，放置すれば人の生命・身体・財産に重大な危害が発生するおそれがあるため緊急の必要がある場合を対象とする。
被害企業が要請したという事実だけで，これらの要件を満たすとは判断できない。
同条４項では，サイバー通信情報監理委員会の事前承認を原則とし，承認を得るいとまがないと認める特段の事由がある場合の例外も定めている。
対象計算機が国内に設置されていると認める相当な理由がない場合の主体・協議等にも別の規定があり，要請の有無だけで処理が完結する制度ではない。
条文の確認先（令和７年法律第４３号２条による改正部分）：https://www.shugiin.go.jp/internet/itdb_housei.nsf/html/housei/21720250523043.htm
２ 自衛隊の通信防護措置
同整備法による自衛隊法８１条の３は，重要電子計算機に対する特定不正行為であって，国外の者による特に高度に組織的かつ計画的な行為について，自衛隊が対処する特別の必要がある場合の通信防護措置を定めている。
特定重大支障が生じるおそれの大きさ，自衛隊の特別の技術又は情報が必要不可欠であること，国家公安委員会の要請又は同意などの要件が置かれている。
民間企業が政府に行う要請と，この規定にいう国家公安委員会の要請は，主体も意味も異なる。
企業の公表だけから，自衛隊による措置の要件充足を認定することはできない。
３ 被害企業自身の措置との違い
これらは警察や自衛隊の権限と手続を定める規定であり，被害企業やその委託先に，第三者のサーバーへ侵入してデータを削除する一般的な権限を与えるものではない。
自社のネットワーク接続の停止，認証情報の変更，権限のある範囲でのログ保全と，第三者が管理するサーバーへの働きかけは区別する必要がある。
個々の行為の適法性は，権限・同意・行為の内容などにより別途判断すべき問題である。
第３ 対象企業と施行時期の読み方
１ 届出・報告義務の対象は別に確認する
重要電子計算機防護法上の届出・報告義務は，特別社会基盤事業者と特定重要電子計算機への該当性を確認して判断する。
特別社会基盤事業者は，経済安全保障推進法による指定を受けた特定社会基盤事業者のうち，特定重要電子計算機を使用する者である。
「サイバー攻撃の被害企業である」「クラウドサービスを提供している」という理由だけでは，この該当性を断定できない。
本件企業の指定・対象計算機への該当性は，本記事では未確認である。
また，届出・報告義務の対象かどうかと，警察による危害防止措置の検討範囲は同一の問題ではない。
制度解説：https://www.cao.go.jp/cybersecurity/pdf/cyber_kaisetsu_202610.pdf#page=64
２ 全制度が同時に施行されたわけではない
令和８年９月の政府説明では，官民連携とアクセス・無害化措置は同年１０月１日から，通信情報の利用は「来年秋」からの施行と整理されている。
この説明にいう「来年秋」は令和９年秋を指すが，特定の確定施行日を示す表現ではない。
したがって，令和８年１０月１日に全ての通信情報取得・利用の仕組みまで施行されたと説明することはできない。
施行説明：https://www.cao.go.jp/cybersecurity/pdf/sekousetsumei.pdf#page=2
第４ 企業・顧問弁護士が公表を読む際の確認事項
企業側の対応では，①侵害の事実と調査中の事項，②自社又は委託先の管理権限で実施した防御，③警察・所管官庁への相談や法定報告，④政府に求めた措置，⑤政府から実際に示された判断を分けて記録すると，説明の混同を防ぎやすい。
政府に対する要請の準備と並行して，ログや時系列の保全，契約上の責任分担，個人情報に関する報告・通知の要否，利用者への説明内容を検討することが実務上の課題になる。
これは本記事の実務上の提案であり，本件企業に特定の法的義務違反があったと評価するものではない。
具体的な期限・対象・警察と自衛隊の役割については，次の制度解説を参照されたい。
第５ よくある質問
１ GMOの要請は政府による発動の発表なのか
企業による要請の公表である。
政府による個別の措置の決定・実施を確認した政府発表と同一視することはできない。
２ 被害企業が要請すれば必ず無害化されるのか
要請の事実だけでは決まらない。
警察や自衛隊の各措置について，主体・対象・要件・必要な手続を個別に確認する必要がある。