2025年5月、日本のサイバーセキュリティが大きく変わった
皆さん、こんにちは。現役のフォレンジックアナリストとして、数多くの企業のサイバー攻撃被害を調査してきた私が、今回は非常に重要なお話をしたいと思います。
2025年5月に「能動的サイバー防御法」が国会で成立したことをご存知でしょうか？これまでの「攻撃されてから対応する」受動的な防御から、「攻撃される前に先手を打つ」能動的な防御へと、日本のサイバーセキュリティ戦略が根本的に変わったんです。
私が実際に調査した事例を思い返すと、ある中小企業では既に2週間前からサイバー犯罪者グループがダークウェブで同社の機密情報を取引していたのに、企業側は全く気付いていませんでした。もし事前に脅威の兆候を察知できていれば、被害を防げたかもしれません。
「敵を知る」ことから始まる新時代の防御戦略
イスラエルのサイバーセキュリティ企業KELAの共同創設者でCEOのデイビット・カーミエル氏は、「まず敵を知ることが重要」と強調しています。これは私たちフォレンジック調査員の基本でもあります。
実際の調査現場で痛感するのは、多くの企業が「自分たちがどんな脅威に狙われているか」を全く把握していないということです。ランサムウェア攻撃を受けた企業の9割以上が、攻撃される前にハッカーグループのターゲットリストに載っていたという事実を知っていますか？
脅威インテリジェンスの3つの重要ポイント
カーミエル氏が挙げる脅威インテリジェンスの特徴は、まさに現場で私たちが重視している要素と一致します：
1. 高品質なデータの重要性
「脅威インテリジェンスでは誰もが大量のデータを収集しているが、同時に多くのノイズを伴う」というカーミエル氏の指摘は的確です。
私の経験では、誤った脅威情報に基づいて過剰な対策を取り、本当の脅威を見落とした企業を数多く見てきました。信頼できる情報源からのキュレーションされたデータこそが、効果的な防御の第一歩なんです。
2. ターゲットを絞った対策
ベンダー視点ではなく顧客視点での脅威インテリジェンス。これは非常に重要です。
例えば、製造業の企業が金融業向けの脅威情報を大量に受け取っても意味がありません。自社の業種、規模、使用している技術スタックに特化した脅威情報こそが価値があるんです。
3. 実行可能なアクション
「対応リソースが不十分な組織を支援する生成AIアシスタント」という部分は、特に中小企業には朗報です。
私が調査した中小企業の多くは、セキュリティ専門人材の不足に悩んでいました。AIが脅威インテリジェンスを分析し、具体的な対応策を提示してくれれば、限られたリソースでも効果的な防御が可能になります。
個人でもできる能動的防御の第一歩
企業向けの話が中心でしたが、個人の方も無関心ではいられません。実際、私が調査した企業攻撃の多くは、従業員の個人デバイスやアカウントが最初の侵入口となっているケースがほとんどです。
個人レベルでできる能動的防御として、まずアンチウイルスソフト
の導入をお勧めします。現在のアンチウイルスソフト
は、従来のウイルス検知だけでなく、リアルタイムでの脅威分析機能を搭載しているものが多くあります。
また、テレワークが当たり前になった今、VPN
の利用は必須と言えるでしょう。私が調査した事例では、公衆Wi-Fiを経由した情報漏洩が原因で、企業全体が標的になったケースもありました。
中小企業が直面する現実的なリスク
「うちは小さい会社だから狙われない」という考えは危険です。むしろ、セキュリティ対策が手薄な中小企業こそ、大企業への踏み台として狙われるケースが急増しています。
私が最近調査した事例では、従業員30名の小さなIT企業が、大手自動車メーカーのサプライチェーン攻撃の入り口として利用されていました。この会社は、自社のWebサイトに脆弱性があることに全く気付いていませんでした。
こうした被害を防ぐためには、定期的なWebサイト脆弱性診断サービス
が不可欠です。専門業者による診断を受けることで、攻撃者が利用する可能性のある脆弱性を事前に発見し、対策を講じることができます。
グローバルトレンドと日本の現状
カーミエル氏によると、イスラエル、欧州、米国の企業や組織では既に能動的サイバー防御のアプローチが採用されているとのことです。日本も法制化により、ようやく国際標準に追いつこうとしているところです。
しかし、法律ができただけでは意味がありません。重要なのは、各企業、そして個人が実際に行動を起こすことです。
今すぐできる具体的なアクション
能動的サイバー防御法の成立を受けて、今すぐ実行できるアクションをまとめました：
個人向け：
– アンチウイルスソフト
の導入・更新
– VPN
の利用開始
– パスワード管理の見直し
– 定期的なソフトウェア更新
企業向け：
– Webサイト脆弱性診断サービス
の実施
– 従業員向けセキュリティ教育の強化
– インシデント対応計画の策定
– 脅威インテリジェンスサービスの検討
まとめ：新時代のセキュリティ思考
能動的サイバー防御法の成立は、日本のサイバーセキュリティにとって大きなターニングポイントです。「攻撃されてから考える」時代は終わり、「攻撃される前に備える」時代が始まりました。
私たちフォレンジックアナリストとして、被害を受けた企業を数多く見てきましたが、適切な事前対策を取っていれば防げた被害がほとんどです。
個人の方も企業の方も、まずは基本的なセキュリティ対策から始めて、段階的に能動的防御の仕組みを構築していくことをお勧めします。
サイバー攻撃は「もしかしたら」ではなく「いつか必ず」起こるものです。その「いつか」が今日かもしれません。今すぐ行動を起こして、大切な情報資産を守りましょう。
