デジタル・サイバーセキュリティ

社内ネットワークの内側なら信用するという従来の発想を捨て、誰のどのアクセスも毎回検証する考え方がゼロトラスト。クラウドとリモートワークの時代の防御の土台になった。

かつてのセキュリティは、社内ネットワークの外側に壁(ファイアウォール)を築き、内側に入った利用者や端末は信用する『境界防御』が基本だった。だがクラウド利用とリモートワークが広がり、社員も取引先も社外から社内システムにアクセスするようになると、『内側＝安全』という前提が崩れた。これに代わる考え方がゼロトラストで、『何も信用せず、すべてのアクセスを毎回検証する』ことを原則とする。利用者の認証(多要素認証)、端末の状態、アクセス権限を都度確認し、必要最小限の権限だけを与える。米国政府は2022年に連邦政府機関へゼロトラスト移行を指示し、日本でも行政・企業が導入を進める。クラウド前提のデジタル基盤を守る土台として、後述のSASEやEDRと組み合わせて使われる。

システムを自社サーバーでなくクラウド前提で作る『クラウドネイティブ』が標準化し、行政も複数のクラウドを国の標準基盤として使うガバメントクラウドへ移行している。

システムを物理的な自社サーバー(オンプレミス)でなく、クラウド事業者の基盤の上で、コンテナやマイクロサービスといった部品を組み合わせて作る方式をクラウドネイティブと呼ぶ。柔軟に拡張でき、更新も速いが、設定ミスや権限管理の甘さが新たな攻撃口になる。日本政府はデジタル庁のもと、複数のクラウド事業者を国の標準基盤として利用する『ガバメントクラウド』を整備し、国・自治体のシステムを順次移行している。安価で迅速な行政システムを目指す一方、特定の海外クラウドへの依存(ベンダーロックインや主権の問題)、設定不備による情報漏えい、可用性の確保が課題となる。クラウドの設定状態を継続監視するセキュリティ(CSPM/CNAPP)が、この層の守りの中心になっている。

クラウドもAIも、それを動かすデータセンターと電力がなければ成り立たない。AIの計算需要急増で、データセンターの立地・電力・冷却が基盤の制約になった。

クラウドサービスも生成AIも、実体は世界中のデータセンターに並ぶ大量のサーバーである。AIの計算需要が急増したことで、データセンターは1施設で都市並みの電力を消費するようになり、立地・電力供給・冷却(液冷化)が基盤全体の制約となった。日本は電力コストと再生可能エネルギー調達の面で制約が大きく、データセンターの国内立地と電力確保がデジタル基盤・AX(AIトランスフォーメーション)の出遅れの一因にもなっている。同時に、データセンターは重要インフラそのものであり、物理セキュリティ・サイバー防御・災害対策(冗長化・地理分散)が不可欠になる。基盤を『どこに置き、どう電力を賄い、どう守るか』を一体で考える視点が、この分野の土台にある。

社員がどこからでもクラウドにつなぐ時代に、ネットワーク接続とセキュリティ機能をクラウド上で一体化して提供するのがSASE。境界防御の限界を埋める。

社員が社外からクラウドサービスに直接つなぐようになると、すべての通信を一度社内に戻して検査する従来のネットワーク構成は非効率で危険になった。これに対し、ネットワーク接続(SD-WAN)とセキュリティ機能(安全なWebゲートウェイ、クラウドアクセスの監視、ゼロトラストのアクセス制御など)をクラウド上で一体化して提供する方式がSASE(サシー/Secure Access Service Edge)である。利用者がどこにいても、近くのクラウド拠点を経由して安全に・速くアクセスできる。さらにセキュリティ機能に絞った部分はSSE(セキュリティ・サービス・エッジ)と呼ばれる。ゼロトラストを実際のネットワークで実装する手段として、企業の標準的な構成になりつつある。

侵入を完全には防げないことを前提に、端末やシステム全体の挙動を監視して攻撃の兆候を検知し、素早く対応する仕組みがEDR/XDRである。

どれだけ壁を高くしても侵入は起こりうる。そこで近年の防御は『侵入される前提で、早く気づき早く対応する』方向へ移った。端末(パソコン・サーバー)の挙動を常時記録・監視し、不審な動きを検知して対処するのがEDR(Endpoint Detection and Response)である。これを端末だけでなくネットワーク・クラウド・メールまで広げ、全体を横断して脅威を捉えるのがXDR(Extended Detection and Response)。さらに監視・対応を外部の専門サービスに委ねるMDRも普及している。CrowdStrikeやMicrosoft、SentinelOneがこの分野の大手で、AIで膨大なログから攻撃の兆候を見つける技術が進む。攻撃を『防ぐ』から『検知して封じ込める』への発想転換が、現代のセキュリティ運用の核にある。

セキュリティの監視・分析・対応を担う司令塔がSOC。誰がどんな手口で狙っているかを集めて活かす脅威インテリジェンスが、その判断を支える。

EDR/XDRが上げる大量の警告を人と仕組みで捌き、本当の攻撃を見分けて対応する司令塔がSOC(Security Operation Center/セキュリティ運用センター)である。24時間体制で監視・分析・対応を担い、自前で持つ企業もあれば、外部のMSSP(マネージドセキュリティサービス)に委ねる企業も多い。SOCの判断を支えるのが脅威インテリジェンスで、世界でどんな攻撃グループが・どんな手口(TTP)で・誰を狙っているかという情報を集約し、自社が同じ手口で狙われていないかを照合する。攻撃手口を体系化したMITRE ATT&CKのような共通言語も整い、警告の自動対応(SOAR)やAIによる分析が進む。人材不足が深刻なため、運用の自動化と専門サービスの活用が鍵になる。

将来の量子コンピュータは現在の暗号を破る恐れがある。それでも破られない新しい暗号が耐量子暗号(PQC)で、政府・金融が今から移行を始めている。

インターネットの通信や金融取引は、桁の大きな数の計算が事実上解けないことを根拠にした公開鍵暗号(RSAや楕円曲線暗号)で守られている。だが大規模な量子コンピュータが実現すると、これらが短時間で破られる恐れがある。今は暗号化された通信を盗み見ても解読できないが、攻撃者がそれを保存しておき、将来の量子コンピュータで解読する『今盗んで後で解読する(harvest now, decrypt later)』という脅威も指摘される。これに備える新しい暗号が耐量子暗号(PQC)で、量子コンピュータでも解きにくい数学問題に基づく。米国のNIST(国立標準技術研究所)が2024年に標準を正式公開し、政府・金融・重要インフラは長期保護のため、暗号を機敏に入れ替えられる体制(クリプト・アジリティ)づくりを始めている。日本も追随する。

生成AI(大規模言語モデル)には、悪意ある指示で誤作動させるプロンプトインジェクションなど固有の弱点がある。AIを守ることと、AIが攻撃に使われることの両面が新しい主戦場になった。

生成AI(大規模言語モデル、LLM)を業務に組み込むほど、AI固有の弱点が新しい攻撃口になる。代表がプロンプトインジェクションで、悪意ある指示文をAIに読み込ませて本来の制約を破らせ、機密を漏らさせたり誤った行動を取らせたりする。学習データを汚染して挙動を狂わせる攻撃(データポイズニング)、人間には気づかれない微小なノイズで誤認識させる敵対的攻撃、モデルの中身を盗む攻撃もある。これらからAIを守る技術(ガードレール・入出力の検査)が急務になっている。同時に、攻撃側もAIを使い、巧妙な偽メール(フィッシング)や偽の音声・動画(ディープフェイク)、攻撃コードの自動生成に活用する。AIを『守る』と『AIに攻められる』の両面が、生成AI時代に固有のセキュリティ主戦場になった。

深刻なサイバー攻撃に対し、被害が出てから対処するのでなく、攻撃元のサーバーに事前に対処して攻撃を止める枠組みが能動的サイバー防御。2025年に日本で法律が成立した。

従来のサイバー防御は、攻撃を受けてから検知して対処する『受け身』が基本だった。これに対し、重要インフラへの深刻な攻撃に対しては、被害が出る前に攻撃元のサーバーへアクセスして無害化するなど、能動的に止める考え方が能動的サイバー防御(アクティブ・サイバー・ディフェンス)である。日本は2025年5月、これを可能にする法律(サイバー対処能力強化法/能動的サイバー防御法)を成立させ、(1)官民の情報共有、(2)通信情報の活用(一定の条件下で通信を分析)、(3)攻撃元サーバーへの対処、の3本柱を段階的に施行する。電力・水道・金融・通信といった生活と経済を支える重要インフラを守るための枠組みだが、通信の秘密やプライバシーとの両立、対処の歯止めをどう設計するかが論点として残る。

セキュリティの根幹は、特定の計算が事実上解けないという数学的な難しさにある。暗号理論はその土台を与え、量子時代に再構築を迫られている。

現代のセキュリティの根幹は暗号理論にある。1976年にディフィーとヘルマンが公開鍵暗号の考え方を示し、鍵を秘密に渡さなくても安全に通信できる道を開いた。続くRSA暗号や楕円曲線暗号は、巨大な数の素因数分解や離散対数といった『解くのに天文学的な時間がかかる』数学問題に安全性を委ねている。だが量子コンピュータはこの一部を効率的に解いてしまう(1994年のショアのアルゴリズム)。そこで前述の耐量子暗号(PQC)は、量子でも解きにくい格子問題などに土台を移す。暗号理論はさらに、計算を秘匿したまま処理する準同型暗号や、内容を明かさず正しさだけ証明するゼロ知識証明へと広がり、プライバシーと検証の新しい設計に活かされている。

ソフトウェアの欠陥は攻撃の入り口になる。プログラムが仕様通りに動くことを数学的に証明する形式手法が、重要システムの信頼性を高める。

サイバー攻撃の多くは、ソフトウェアのバグ(欠陥)を突いて侵入する。テストで全ての不具合を見つけるのは難しいため、プログラムが仕様通りに正しく動くことを数学的に証明しようとするのが形式手法(フォーマルメソッド)である。モデル検査や定理証明といった技術で、『この状態には決して到達しない』『この処理は必ず終わる』といった性質を網羅的に検証する。航空・鉄道・原子力の制御システム、暗号プロトコル、OSの中核などで使われ、検証済みのコンパイラやマイクロカーネルも実現している。すべてのソフトに適用するのはコストが高いが、攻撃の影響が致命的になる重要インフラや暗号実装で、信頼性を底上げする学術的な裏づけとなっている。

セキュリティは『機密・完全・可用』の3つを守ること。分散システムでは、止まらないこと(可用性)とデータの一貫性を同時に完璧には満たせないという原理的な限界がある。

情報セキュリティの目標は、機密性(漏れない)・完全性(改ざんされない)・可用性(止まらない・使える)の3つを守ることだとされる(CIAトライアド)。このうち可用性は、サービス妨害攻撃(DDoS)や障害でシステムが止まると損なわれる。クラウドのように多数のサーバーに分散したシステムでは、ネットワークが分断されたとき、データの一貫性(全サーバーで同じ最新データ)と可用性(常に応答する)を同時に完璧には満たせないという原理がある。これがブルワーのCAP定理(2000年)で、分散システムは一貫性と可用性のどちらをどこまで優先するかを設計で選ばざるを得ない。重要インフラやクラウド基盤の冗長化・地理分散の設計は、この原理的なトレードオフの上に立っている。

データは守るだけでなく、安全に活用することも求められる。個人を特定できないようにしながらデータを使う技術が、AI時代のプライバシー工学である。

セキュリティと並ぶ課題がプライバシーの保護である。データは漏らさず守るだけでなく、AIの学習や統計分析に安全に活用したいという要請が強い。これに応えるのがプライバシー工学で、データに数学的なノイズを加えて個人を特定できなくする差分プライバシー(2006年にドゥワークらが定式化)、データを手元に置いたまま学習だけ持ち寄る連合学習、暗号化したまま計算する準同型暗号、複数者が秘密を明かさず共同計算する秘密計算などがある。GDPRや日本の個人情報保護法が求める『目的を絞った最小限の利用』を技術で支え、医療・金融データの活用と保護を両立させる。AIがデータを大量に使う時代に、『守りながら使う』ための学術的な基盤となっている。

攻撃者と防御者の関係は、互いの手を読み合う駆け引きである。ゲーム理論や経済学の視点が、限られた資源をどこに配分して守るかの判断を助ける。

サイバーセキュリティは、攻撃者と防御者が互いの手を読み合う駆け引きでもある。守る側は資源(人・予算)に限りがあるため、どこをどれだけ守るかを選ばなければならない。これをゲーム理論で捉えると、攻撃者の合理的な行動を前提に、最も効果的な防御配分(どの資産を優先して守るか、おとり=ハニーポットをどう置くか)を考えられる。さらにセキュリティの経済学は、企業がなぜ十分に投資しないか(被害が他者に及ぶ外部性、情報の非対称性、保険の役割)を分析する。攻撃のコストを上げ、割に合わなくさせるという発想や、脆弱性を報告した人に報酬を払うバグバウンティの設計も、この経済的な視点に支えられている。守りを『技術』だけでなく『資源配分と誘因の設計』として捉える学術的レンズである。

高度なセキュリティ技術があっても、それを運用する人がいなければ守れない。日本のサイバーセキュリティ人材は数万人規模で不足し、これが最大の盲点である。

報道は最新の防御技術や大型の攻撃事件に集まりがちだが、現場の最大の制約は人材不足である。EDR/XDRやSOC、ゼロトラストをいくら導入しても、警告を分析し、攻撃を見分け、対応する専門人材がいなければ機能しない。日本ではセキュリティ人材が数万人規模で不足しているとされ、特に中小企業や地方では深刻だ。育成には時間がかかり、待遇面で海外や大手に人材が流れる構造もある。だからこそ運用の自動化(SOAR・AI)、外部の専門サービス(MDR・MSSP)の活用、そして情報系人材の裾野を広げる教育が要になる。最新技術の導入よりも、それを使いこなす人と運用の体制づくりこそが、この分野の本当のボトルネックである。

大企業が守りを固めても、取引網でつながる中小企業の防御が弱ければ、そこが踏み台にされる。社会全体の守りは最も弱い環で決まる。

セキュリティ投資は大企業に集中しがちだが、攻撃者はより弱い中小企業を狙う。予算も人材も限られる中小企業はEDRや専門運用を持てず、古いソフトを使い続けることも多い。攻撃者はそこを踏み台にして、取引先の大企業や重要インフラへ侵入する。社会全体の守りは『最も弱い環』で決まるため、中小の底上げが欠かせない。日本では2024年に発覚した大規模なサプライチェーン経由の侵害事例が、この弱点を改めて示した。安価で導入しやすいクラウド型のセキュリティ、業界団体での情報共有、中小向けの補助・支援、簡素な対策ガイドの普及が現実的な処方となる。先端技術の議論の陰で見落とされがちだが、中小の防御は社会の守りの根幹に関わる盲点である。

ソフトの部品や委託先を経由する攻撃、そして電力・水道・工場の制御システム(OT)を狙う攻撃が増えている。デジタルとフィジカルの境目が新しい弱点になった。

現代のシステムは、無数のソフトウェア部品(オープンソース)や委託先の上に成り立つ。その一つに仕込まれた欠陥や悪意あるコードが、利用する全ての組織に波及するのがサプライチェーン攻撃である(2020年のSolarWinds事件、Log4jの脆弱性が典型)。ソフトの部品表(SBOM)で何が使われているかを把握し、調達先のセキュリティを評価する取り組みが進む。もう一つの盲点が、電力・水道・ガス・鉄道・工場の制御システム=OT(Operational Technology/運用技術)である。これらは長く外部と切り離されていたが、デジタル化でネットにつながり、攻撃されると停電や断水、生産停止といった現実世界の被害に直結する。古い機器が多く更新が難しいOTの防護は、デジタルとフィジカルの境目に生まれた新しい弱点であり、能動的サイバー防御が守ろうとする中心でもある。

金融はお金とデータ、医療は命と機微な個人情報を扱うため、セキュリティが事業の存続そのものに直結する。規制も最も厳しい。

サイバーセキュリティは特定の産業の問題でなく、あらゆる産業の土台に波及する。中でも金融は、決済・送金・口座情報を扱うため、攻撃や障害が直接お金と信頼の喪失につながる。EUのDORA(デジタル運用レジリエンス法)や各国の監督規制が、金融機関に高度なセキュリティと障害対応を義務づける。医療は、命に関わるシステムと極めて機微な個人の健康情報を扱い、病院がランサムウェアで止まれば診療が停止し人命に関わる。電子カルテやオンライン診療の普及で攻撃面も広がった。両産業はゼロトラスト・EDR・脅威インテリジェンスの導入が進む一方、医療は予算・人材の不足という中小同様の弱点も抱える。データと信頼が事業の命である産業ほど、セキュリティが経営の中心課題になる。

電力・製造・防衛は、サイバー攻撃が停電・生産停止・安全保障の損害という現実世界の被害に直結する。OTセキュリティと経済安全保障の接点にある。

電力・製造・防衛は、サイバー攻撃が現実世界の物理的被害に直結する産業である。電力網への攻撃は広域停電を、工場の制御システム(OT)への攻撃は生産停止や安全事故を、防衛分野への攻撃は機密漏えいや装備の無力化を招きうる。これらは前述のOTセキュリティの最前線であり、古い制御機器・長い更新周期・止められない稼働という制約の中で守らねばならない。製造現場ではデジタル化(スマートファクトリー)が攻撃面を広げ、防衛では装備のセンサ・通信が攻撃対象になる。能動的サイバー防御が守ろうとする重要インフラの中核であり、サプライチェーン全体(部品・委託先)の防護と一体で考える必要がある。経済安全保障の観点から、国がこれらの防護に関与する度合いが強まっている。

国家が背後にいるとされる高度な攻撃が増え、サイバー空間が国家間の対立の舞台になった。日本の重要インフラも標的になりうる。

近年のサイバー攻撃の高度化を象徴するのが、国家支援型とされる攻撃グループの活動である。特定の国家を背景に、長期間にわたって標的に潜伏し情報を盗む(高度標的型攻撃=APT)、重要インフラに侵入して有事に備える、といった活動が各国の政府機関から名指しで指摘されるようになった。これはサイバー空間が国家間の対立・地政学の舞台になったことを意味する。米中対立、ウクライナ情勢などと連動して攻撃が活発化し、日本の政府機関・防衛・重要インフラも標的になりうる。能動的サイバー防御や同盟国との情報共有(ファイブ・アイズ等との連携)は、この国家レベルの脅威への対応である。攻撃の帰属(誰がやったか)の特定は難しく、抑止と外交の新しい領域として、サイバーは安全保障の中心に組み込まれた。

身代金を要求するランサムウェアが社会の機能を止め、データの国内保存を求める各国の規制が分断を生む。攻撃の高度化と規制の地政学が二重のリスクになる。

企業・病院・自治体を直撃し続けるのがランサムウェア(身代金要求型ウイルス)である。データを暗号化して使えなくし、さらに盗んだデータの公開をちらつかせて二重に脅す手口が主流になり、攻撃をサービスとして売る分業化(RaaS)も進んだ。病院や物流が止まれば社会機能に直結し、被害は世界で年数兆円規模とされる。もう一つのリスクが、データの国内保存(データローカライゼーション)や越境移転規制を各国が強める地経学的なデータ規制である。中国のデータ安全法、EUのGDPR、各国の主権データ政策が、データの自由な流通を制約し、グローバルに事業を行う企業を板挟みにする。攻撃の高度化(技術リスク)と、規制の分断(地政学リスク)が二重に重なる中で、日本は守りの技術と、データをめぐる国際的な立ち位置の両方を問われている。