ガートナージャパンは10月13日、多発する日本企業の不正アクセス事案に関する緊急的な提言を発表した。
2026年9月以降、日本企業で重大な不正アクセス、個人情報漏洩のインシデントが相次いで発生しているほか、世界各地でも相次いで不正アクセス、情報流出する事案が発生している。
企業は従来のサイバーセキュリティの取り組みを大きく転換させていく必要がある。今回の事案はそのための契機と捉えるべきである。
AI／エージェント利用により、一連の攻撃プロセス、すなわち広範囲のスキャンによる攻撃対象および脆弱性の特定、攻撃コードの生成・修正、攻撃の実行といったプロセスが、複数工程にわたって自律化される。
従来は人間が数日から数週間かけていた作業が、条件によっては数時間、さらには数分で実行される可能性がある。これは、攻撃者の技術力や人的リソースによる制約を引き下げ、攻撃の速度と規模を飛躍的に拡大させる恐れがあることを意味する。
2026年は、AnthropicのMythosの発表などフロンティアAIとサイバーセキュリティの脅威について、大きく報じられた。Mythosについては、一般公開は見送られ、攻撃側と防御側で大きな非対称性が生じる危機は免れたものの、今後さらに攻撃側がAIを使って力を拡大していくことはほぼ間違いないとGartnerはみている。
一方、防御側はいまだに脆弱性管理の基本もできていない組織が多く見られる。このままのペースを継続すると、今後、攻撃と防御の非対称性がさらに拡大し、手に負えない状況になる。
Gartnerは、企業が早急に実施すべきアクションの例として、次の項目を挙げている。
・インターネット公開資産 (Webアプリ、API、管理画面、VPN、クラウド、拠点、取引先などのサードパーティも含め) を緊急点検する
・ソフトウェアの脆弱性に加えて、認証認可、API、その他の設定不備も含め点検する
VPN、侵入検知システム (IDS)／侵入防御システム (IPS)、WAF (Webアプリケーション・ファイアウォール)、APIゲートウェイ、認証基盤、Webサーバ、従業員向けシステム、クラウド環境などのログや関連情報を横断的に調査し、通常と異なるアクセス、アカウントの作成・権限変更、設定変更、大量のデータ取得など、不正アクセスや侵害の兆候がないかを緊急確認する
・個人情報は利用する必要がなくなったら速やかに消去されていることを確認する。プライバシー原則にのっとった対応となっていることを改めて確認する
・ラテラル・ムーブメント(内部へ侵入した後の水平展開)を抑制する措置を取る(セグメンテーション [隔離]、特権管理など)
・サードパーティ(特に自社の重要情報やシステムを扱う委託先やクラウド事業者、拠点など)に対し、影響有無、緊急点検の実施状況、侵害時の連絡体制、インシデント対応プロセス、復旧見通しを確認する
・点検で見つかった重大なエクスポージャ (露出された弱点)について緊急的に修復する。サービス停止やサービス制限や緊急改修に関する経営判断を迅速に行う。復旧手順、バックアップ、顧客通知体制も再確認する
今回、相次ぐ不正アクセスによって大量の個人情報が流出し、多くの人々に深刻な影響が及んでいる。経営者には説明責任を果たすことが求められるが、「再発防止の徹底に努める」という言葉だけでは、もはや十分ではない。
同社のバイス プレジデント チーム マネージャーの礒田優一氏は、次のように述べている。
「今や企業は、デジタル空間における絶え間ない攻撃にさらされています。経営者は、この現実を直視し、デジタル防衛を経営の最重要課題の一つに位置付け、自ら先頭に立って取り組む必要があります」
［i Magazine・IS magazine］
