サイバー防御の問い合わせ急増、大手は体制強化、不正アクセス情報漏洩相次ぐ
日本企業のサイバー防御をめぐる現状は、攻撃件数の増加だけでは説明できない。デジタル化によって守るべき情報とシステムが増え、クラウドや外部委託によって管理範囲が広がり、人工知能の普及によって攻撃と防御の双方が変化している。
現状（2026年10月時点）
日本では企業や行政機関を狙う不正アクセス、個人情報の漏洩、システム停止などへの警戒が強まっている。サイバー攻撃は情報システム部門だけで処理できる技術上の問題ではなく、事業継続、顧客との信頼関係、取引先への供給責任、さらには企業経営そのものを左右する問題になっている。
こうした状況を背景に、サイバー防御サービスを提供する大手電機メーカーへの相談や問い合わせが増加している。2026年10月10日付の報道によると、富士通は同年8月下旬に防御戦略を公表した後、企業からの問い合わせが相次ぎ、10月1日付で100人規模の専門組織を新設したほか、日立製作所やNECも人工知能を活用した防御・復旧支援の強化を進めている。
ただし、問い合わせの増加を、そのまま国内の攻撃件数の増加と同一視することはできない。被害の増加に加え、経営者の危機意識の高まり、法令・取引先要件への対応、人工知能の普及に伴う新たな懸念などが、相談需要を押し上げている可能性があるためだ。
現状を正確に把握するには、実際に確認された被害、専門機関に寄せられた相談、企業のサービス需要、攻撃技術の変化を分けて検証する必要がある。これらを区別せずに論じると、特定の被害事例を社会全体の傾向と誤認したり、対策サービスの拡大を攻撃増加の直接的な証拠として扱ったりする危険がある。
現状のファクトと背景（何が起きているのか）
国内のサイバー脅威を理解するうえで重要な資料の1つが、情報処理推進機構が2026年1月に公表した「情報セキュリティ10大脅威 2026」である。同資料では、組織に対する脅威の1位がランサムウェアなどによる身代金要求型攻撃、2位が取引先や委託先を狙う攻撃、3位が人工知能の利用をめぐるサイバーリスクとなった。
この順位は、2025年に社会的影響が大きかった事故や攻撃をもとに、専門家ら約250人による選考を経て決定されたものである。ランサムウェア被害とサプライチェーン攻撃がそれぞれ長年にわたり上位を占める一方、人工知能をめぐるリスクが初めて3位に入ったことは、従来型の攻撃への対処と、新しい技術がもたらす危険への対応を同時に進める必要性を示している。
さらに、2026年10月8日には、サイバー攻撃への対応を担う専門機関が、国内組織で不正アクセスによる個人情報などの漏洩被害が相次いでいるとして注意喚起を公表した。対象となったのは、一般利用者向けのサービスだけではなく、業務管理システムや情報分析用の仕組みなど、通常は多数の外部利用者からのアクセスを想定していないシステムも含まれる。
この点は、企業が防御すべき対象の広がりを示す。一般公開されたウェブサイトだけを守っていても、保守用の接続口、従業員向けの管理画面、外部サービスとの連携部分などに弱点があれば、内部に保存された機密情報や個人情報が流出する可能性がある。
行政機関でも、同様の問題が確認されている。デジタル庁は2026年9月、政府共通の業務基盤であるガバメントソリューションサービスにおいて、外部からの不正アクセスにより、職員などの個人情報を含むファイルの一部が漏洩した可能性があると公表した。
同庁の発表によると、2026年6月25日に保守運用担当者のアカウントを利用した大量のファイルへのアクセスが検知され、調査が始まった。この事例は、組織の内部に正規の権限を持つ利用者が存在していても、そのアカウントが不正利用されれば、外部からの侵入と同様に深刻な被害が発生し得ることを示している。
こうした事案の背景には、業務のデジタル化によって情報が集中する一方、その情報へアクセスする経路や管理主体が増え続けているという構造的な問題がある。利便性と業務効率を優先してシステムを連携させるほど、管理の不備が組織全体へ波及する可能性も高まるため、個々の機器を守るだけでは十分ではない。
不正アクセスと情報漏洩の多発
不正アクセスと情報漏洩は密接に関係するが、両者は区別して捉える必要がある。不正アクセスは、本来認められていない方法でシステムやアカウントを利用する行為であり、情報漏洩は、個人情報や機密情報が権限のない第三者に渡る、または閲覧可能になる事態を指す。
攻撃者がシステムへ侵入しても、必ずしも情報漏洩が発生するわけではない。一方、正規の利用者の操作ミス、内部関係者による持ち出し、外部サービスの設定不備などによって、明確な侵入行為が確認されないまま情報が流出する場合もあるため、被害の全体像を把握するには複数の経路を検証する必要がある。
2026年10月初旬に専門機関が公表した注意喚起では、国内組織で個人情報などの漏洩につながる不正アクセスが相次いでいることが指摘された。特に注目すべきなのは、一般利用者向けのサービスに限らず、従業員向け管理システムや業務用の情報分析ツールなども被害対象となっている点である。
こうしたシステムは、一般消費者向けのウェブサイトと比較して、利用者や接続経路が限定されていることを前提に設計される場合がある。その結果、認証設定やアクセス制御、外部公開範囲の確認が不十分なまま運用されると、攻撃者にとって侵入後の情報収集や大量取得に適した経路となり得る。
個人情報が流出した場合、影響は被害を受けた組織だけにとどまらない。氏名、連絡先、勤務先、認証情報などが組み合わされれば、標的型の詐欺やなりすまし、別のサービスへの不正ログインなどに悪用され、時間を置いて二次被害が発生する可能性がある。
企業にとっては、情報漏洩の公表後に発生する調査費用、顧客への通知、問い合わせ対応、システムの再構築、損害賠償なども重大な負担となる。さらに、原因の特定や安全性の確認に時間がかかれば、受注や取引の停止、顧客離れ、企業価値の低下につながるおそれもある。
情報処理推進機構が公表した2026年の脅威評価で、ランサムウェア攻撃が組織向け脅威の1位を維持したことも重要である。攻撃者は情報を盗み出すだけでなく、システムを暗号化して業務を停止させたり、窃取した情報の公開を示唆して金銭を要求したりするため、機密性、完全性、可用性という情報セキュリティの3要素が同時に脅かされる。
したがって、被害件数だけを減らす発想では不十分である。侵入の予防、異常の早期検知、被害範囲の限定、情報の復元、事業の再開までを一連の過程として管理することが、企業の実効的な防御力を評価する基準となる。
攻撃の高度化（人工知能の悪用）
サイバー攻撃の高度化を考えるうえで、2026年に大きな論点となっているのが人工知能の悪用である。人工知能は防御側の分析や監視を効率化する一方、攻撃者にとっても、情報収集、標的の選定、詐欺文面の作成、攻撃手順の補助などを効率化する手段になり得る。
従来、説得力のある詐欺メールを作成するには、対象企業の事業内容や担当者の役職、取引関係などを調べ、不自然な表現を避ける必要があった。生成型の人工知能を利用すれば、収集した情報に基づいて文面を調整したり、異なる相手に合わせて内容を変えたりする作業を効率化できるため、攻撃の規模と個別化が両立しやすくなる。
音声や映像を人工的に生成・加工する技術も、本人になりすました指示や送金依頼などに悪用される可能性がある。経営者や取引先担当者の声に似せた音声で緊急の送金を求められた場合、従来のように声や話し方だけで本人確認を行う方法では、十分な安全性を確保できない。
ただし、人工知能の普及が、そのまま攻撃成功率の上昇を意味するわけではない。実際の被害には、システムの脆弱性、認証の不備、組織の運用体制、攻撃者の技術力など複数の要因が関係するため、人工知能の影響を評価する際には、技術の進歩と実証された被害を分けて扱う必要がある。
情報処理推進機構が2026年の組織向け脅威の3位に「人工知能の利用をめぐるサイバーリスク」を初めて選んだことは、こうした懸念が専門家の間で重要な課題として認識されていることを示す。同機構が指摘するリスクには、人工知能を悪用した攻撃の容易化や巧妙化だけでなく、組織が人工知能を適切に管理できないことによる情報漏洩や判断ミスも含まれる。
企業は、攻撃者による人工知能の悪用だけでなく、自社の従業員が業務情報を外部の人工知能サービスに入力することによる漏洩リスクにも対応しなければならない。利用を一律に禁止するだけでは現場での無許可利用を招く可能性があるため、利用可能なサービス、入力してよい情報、出力結果の確認手順、利用履歴の管理を明確にすることが重要である。
今後の防御では、人工知能を利用した攻撃を人工知能で検知する仕組みも有力な選択肢となる。ただし、自動判定に依存しすぎれば誤検知や見落とし、判断根拠の不透明さといった新たな問題が生じるため、人間による確認、権限管理、監査記録を組み合わせた運用が欠かせない。
大手事業者・セキュリティ業界の動向（体制強化の動き）
企業のサイバー防御需要が拡大するなか、セキュリティ業界では、攻撃を検知する製品の提供にとどまらず、監視、分析、事故対応、復旧、再発防止までを一体的に支援する方向への転換が進んでいる。背景には、攻撃手法の多様化に加え、企業が自社だけで高度な専門人材を確保し、24時間体制で防御を続けることが難しいという事情がある。
従来の対策は、通信を監視する装置やウイルス対策ソフトを導入し、既知の不正な通信やプログラムを遮断する方法が中心だった。しかし、攻撃者が正規のアカウントを乗っ取り、通常の業務に見える操作を繰り返す場合、単純な遮断だけでは不審な活動を発見できないことがある。
そのため、近年は端末、通信網、利用者の認証、クラウド上の業務環境などから得られる情報を統合し、攻撃の兆候を継続的に分析する仕組みが重視されている。異常を検知した後に、感染端末をネットワークから切り離す、認証情報を無効化する、不審な通信を停止するといった対応を迅速に実行できるかどうかも、防御力を左右する。
さらに、事故発生後の支援需要も大きい。企業が攻撃を受けた場合、侵入経路の特定、被害範囲の把握、情報流出の確認、証拠の保全、システムの復旧を同時並行で進める必要があるため、平時から専門家と連携できる体制を整えておくことが重要になる。
2026年10月に報じられた大手事業者の体制強化も、この変化の一環として捉えられる。富士通がサイバー防御に関する問い合わせの増加を受けて専門組織を設けたとされることや、日立製作所、NECなどが人工知能を活用した防御・復旧支援を進めていることは、顧客企業の需要が個別製品の導入から、継続的な防御能力の確保へと広がっていることを示している。
ただし、企業が発表する組織新設や新サービスの情報は、実際の防御能力がどれだけ向上したかを直接証明するものではない。評価にあたっては、対応できる事故の種類、監視対象、専門人材の配置、検知から初動までの時間、復旧実績、顧客側の運用負担などを確認する必要がある。
セキュリティ事業者に求められる役割も変化している。製品の販売だけではなく、顧客企業の業務内容や保有情報を理解し、事故の予防から復旧までを支援する能力が競争力の重要な要素になりつつある。
一方、外部委託を増やせば自動的に安全性が高まるわけではない。委託先の監視範囲が不明確であったり、事故発生時の責任分担が曖昧であったりすれば、重大な異常が検知されても適切な判断や対応が遅れる可能性があるため、契約内容、報告経路、緊急時の意思決定権限を明確にする必要がある。
富士通の事例
富士通の動向は、国内のサイバー防御市場で需要の変化が進んでいることを示す事例として注目される。2026年10月に報じられた内容では、同社は同年8月下旬に防御戦略を公表した後、企業からの問い合わせが相次いだことを受け、10月1日付で100人規模の専門組織を新設したとされる。
この動きの意味は、単なる人員増強にとどまらない。企業のセキュリティ対策が、個別の製品や設備を導入する段階から、専門家による継続的な支援を受けながら防御体制を構築する段階へ移りつつあることを示唆している。
大企業であっても、すべての攻撃手法に対応できる人材を社内にそろえることは容易ではない。特に、侵入の兆候を分析する担当者、事故発生時に原因を調べる担当者、システムを安全に復旧する担当者では必要な知識や経験が異なるため、各分野の人材を一体的に運用する仕組みが重要になる。
富士通のような大手情報技術企業が専門組織を整備すれば、顧客企業は自社だけでは確保しにくい専門知識や運用能力を外部から利用できる可能性がある。中堅・中小企業にとっても、専門人材を直接雇用する方法に比べ、外部サービスの活用は導入の選択肢を広げることにつながる。
一方、専門組織の新設だけで防御力の向上を断定することはできない。実際の効果を検証するには、どのような業種や規模の企業を支援するのか、監視や事故対応をどこまで担うのか、支援を受ける企業側にどの程度の設備や人員が必要なのかといった点を確認する必要がある。
また、専門サービスの需要が急増した場合には、支援する側の人材確保が課題となる。組織の規模を拡大しても、経験豊富な技術者の育成には時間がかかるため、対応能力の増強と並行して、業務の標準化、知識の共有、自動化による負担軽減を進めることが求められる。
NECの事例
NECも、企業や社会インフラの情報システムを支える事業者として、サイバー防御の強化が重要となる企業の1つである。通信、行政、企業向けシステムなど、多様な分野に関係する技術を扱う事業者では、個々の顧客の防御だけでなく、複数のシステムが接続された環境全体の安全性を考える必要がある。
2026年のサイバー防御市場では、人工知能による異常検知や、攻撃を受けた後の復旧支援を組み合わせる方向性が重視されている。NECの取り組みを分析する場合も、人工知能を導入したという事実だけではなく、検知の精度、対応の速さ、誤検知への対処、復旧作業の効率化など、実務上の効果を評価することが重要になる。
人工知能を利用した防御の利点は、大量の通信記録や端末の操作履歴を分析し、人間だけでは見落としやすい異常の組み合わせを発見できる可能性にある。攻撃者が正規のアカウントを悪用する場合でも、通常とは異なる時間帯のアクセス、普段利用しない情報への接続、大量のファイル取得などを組み合わせれば、危険な行動を検出する手掛かりとなる。
ただし、人工知能の判定は万能ではない。通常の業務でも大量のファイルを処理することはあり、異常と判断された操作が必ずしも攻撃とは限らないため、業務への影響を抑えながら追加調査を行う仕組みが欠かせない。
復旧支援においては、被害を受けたシステムを単に以前の状態に戻すだけでは不十分である。侵入経路や悪用された認証情報を特定しないまま復旧すれば、攻撃者が再び侵入するおそれがあるため、原因の除去、認証情報の更新、システムの安全性確認を経て業務を再開する必要がある。
NECを含む大手事業者に求められるのは、防御製品の性能だけでなく、顧客企業が事故を起こした際に、被害の拡大を抑え、必要な業務を継続し、再発を防ぐまで支援できる体制である。今後の競争では、技術力とともに、業種ごとの業務知識、事故対応の経験、顧客との情報共有の仕組みが重要な差別化要因になると考えられる。
なお、富士通とNECの具体的な施策については、発表日、対象サービス、組織の役割、提供開始時期をそれぞれ公式資料で確認し、報道で伝えられた内容と区別する必要がある。公表された計画と、すでに運用されているサービス、実証段階の技術を混同しないことが、企業事例を正確に評価するうえで不可欠である。
専門窓口・エコシステムの拡張
サイバー攻撃への対応を社会全体で強化するには、民間企業の防御サービスだけでなく、公的な相談窓口、専門機関、警察、業界団体、調査会社などが連携する仕組みが必要である。特に、専門人材や十分な設備を持たない中小企業では、攻撃を受けた際に何を優先し、どこへ相談すべきかを判断すること自体が難しい。
情報処理推進機構は、企業・組織向けのサイバーセキュリティ相談窓口を設け、事故発生時の初動対応に関する助言や、必要に応じた専門事業者の紹介などを行っている。相談窓口は、すべての技術調査を直接実施する機関ではないが、被害の可能性を整理し、適切な対応先につなぐ入口として重要な役割を担う。
また、標的型攻撃への対応では、同機構のサイバーレスキュー隊が、専門的な知見を用いて被害組織の対応を支援する仕組みを設けている。標的型攻撃は、特定の組織や情報を狙って長期間にわたり侵入を試みる場合があり、個別企業だけの調査では攻撃の全体像を把握しにくいため、専門機関による分析と知見の共有が有効となる。
JPCERTコーディネーションセンターも、被害組織や調査を支援する事業者からインシデント情報を受け付け、初動対応に関する相談や助言を行っている。断片的な情報だけでは判断が難しい事案について、外部の専門家から意見を得られることは、対応方針を誤る危険を減らすうえで重要である。
こうした窓口の価値は、個々の企業の被害を解決することだけにとどまらない。複数の組織から寄せられた情報を分析すれば、共通する侵入手法や攻撃の兆候を把握し、他の企業への注意喚起や対策の改善につなげられる可能性がある。
一方、相談窓口の存在を知っていても、実際に被害が発生した際に利用できるとは限らない。企業が相談先や報告手順を平時に確認していなければ、事故発生時に担当部署が混乱し、初動が遅れる可能性があるため、連絡先、報告基準、外部委託先との役割分担を事前に整理しておく必要がある。
さらに、専門機関に情報を提供する際には、被害企業の機密情報や個人情報を適切に保護しながら、攻撃の特徴を共有する仕組みが求められる。情報共有の範囲や匿名化の方法が不明確であれば、企業が評判の低下や取引への影響を懸念して情報提供をためらうおそれがある。
今後は、民間企業が提供する監視・復旧サービスと、公的機関が担う相談・情報共有・注意喚起を組み合わせることが重要になる。個々の企業が得た知見を社会全体の防御力向上につなげることができれば、同じ攻撃手法による被害が繰り返される危険を抑える効果も期待できる。
企業が直面している主なリスクと課題
日本企業のサイバーセキュリティ対策を難しくしているのは、攻撃技術の高度化だけではない。業務システムの複雑化、外部委託の拡大、情報資産の増加、専門人材の不足などが重なり、企業が管理しなければならない範囲そのものが広がっている。
第一の課題は、攻撃を完全に防ぐことを前提とした対策では、現実の脅威に対応しきれないことである。防御設備を導入しても、新たな脆弱性が発見されたり、従業員の認証情報が盗まれたり、委託先を経由して侵入されたりする可能性は残るため、侵入を前提に被害の拡大を抑える仕組みが必要になる。
第二の課題は、セキュリティ対策の責任が複数の部門に分散していることである。情報システム部門が技術面を担当し、法務部門が個人情報保護や契約を扱い、広報部門が公表対応を行い、経営部門が事業継続を判断するという分担は合理的だが、事故発生時の指揮系統が明確でなければ対応が遅れる。
第三の課題は、企業が保有する情報の価値と、その情報を守るための管理水準が必ずしも一致していないことである。顧客情報や取引先の機密資料は企業活動の基盤となる一方、古いシステムや一時的な業務用アカウントには、十分な監視やアクセス制御が適用されていない場合がある。
また、対策の費用対効果を測定しにくいことも経営上の問題である。セキュリティ投資は、売上高や生産性のように短期的な成果を示しにくく、事故が起きなかった理由が対策の有効性によるものか、単に攻撃を受けなかったためなのかを明確に区別することも難しい。
このため、対策の評価を導入製品の数や予算額だけで行うべきではない。重大な脆弱性を修正するまでの時間、不審な活動を検知してから封じ込めるまでの時間、バックアップから業務を復旧するまでの時間など、実際の対応能力を示す指標を設定する必要がある。
デジタル資産・個人情報の肥大化
企業のデジタル資産は、顧客情報や従業員情報だけでなく、契約書、設計図、製造データ、営業記録、認証情報、業務用プログラム、クラウド上のファイルなどへと広がっている。業務のデジタル化が進むほど情報の保存や検索、共有は容易になるが、保護すべき対象と管理の負担も増大する。
特に問題となるのは、企業が自ら管理しているシステムの全体像を把握できていない場合である。各部門が独自に契約したクラウドサービス、試験目的で設置したサーバー、利用を終えたアカウントなどが残っていると、正式な管理対象から漏れた部分が攻撃の入口になる可能性がある。
個人情報については、保有量だけでなく、情報の組み合わせによって生じる危険にも注意が必要である。単独では重大な被害につながりにくい情報でも、氏名、連絡先、勤務先、利用履歴、認証情報などが結び付けば、なりすましや標的型詐欺に利用される可能性が高まる。
企業は、情報を保有する目的、利用期間、アクセス権限、保存場所、削除手順を明確にしなければならない。必要性が失われた情報を保存し続ければ、攻撃を受けた際の流出規模が大きくなるだけでなく、漏洩後の調査や本人への通知、被害への対応も複雑になる。
情報の集中管理にも利点と危険がある。統一された管理基盤を導入すれば監査やアクセス制御を効率化できる一方、その基盤の管理者アカウントが侵害された場合には、広範囲の情報へアクセスされるおそれがあるため、重要情報への権限を細分化し、操作履歴を監視する必要がある。
情報の管理では、保存することだけでなく、不要な情報を安全に削除することも重要である。保管期限を定め、削除の実施状況を確認し、業務上必要な情報と不要な情報を定期的に見直すことが、漏洩時の被害を抑える基礎となる。
さらに、人工知能の利用拡大によって、これまで別々に管理されていた情報が横断的に検索・分析される機会も増えている。利便性を高める一方で、本来は特定の部署だけが閲覧できる情報が不適切に参照される危険もあるため、情報の分類とアクセス権限を人工知能の利用環境にも適用しなければならない。
サプライチェーン全体の脆弱性
サイバー攻撃の重大な特徴の1つは、攻撃対象となった企業だけでなく、その取引先や委託先にも被害が波及することである。大企業が高度な防御設備を整えていても、取引先の管理が不十分であれば、その企業を経由して侵入される可能性がある。
情報処理推進機構が公表した「情報セキュリティ10大脅威 2026」では、取引先や委託先を経由した攻撃が組織向け脅威の2位となった。この順位は、サプライチェーンの安全性が、個々の企業の情報管理だけでなく、取引関係全体の信頼性を左右する課題として認識されていることを示している。
攻撃者が取引先を狙う理由の1つは、主要企業に直接侵入するよりも、防御体制が比較的弱い組織を経由する方が侵入の機会を得やすい場合があるためだ。保守業者が利用する遠隔接続用のアカウントや、複数の顧客を管理する業務システムが侵害されれば、1つの侵入が複数企業へ影響する可能性がある。
ソフトウェアの供給網にも注意が必要である。企業が利用する製品や業務用プログラムに脆弱性が存在した場合、同じ製品を採用する多数の組織が同時に危険にさらされることがあるほか、開発や配布の過程に不正な変更が加えられれば、正規の更新を通じて被害が広がる可能性もある。
この問題に対しては、取引先の選定時にセキュリティ対策の状況を確認するだけでは不十分である。契約後も、重要な脆弱性への対応、事故発生時の報告、アクセス権限の見直し、委託先の再委託構造などを継続的に確認する必要がある。
特に、取引先の安全性を自己申告だけで判断する方法には限界がある。質問票や認証制度は一定の確認に役立つものの、書類上の整備状況と実際の運用能力が一致するとは限らないため、リスクに応じた監査や技術的な確認を組み合わせることが望ましい。
中小企業に過大な対策費用を求めることにも注意が必要である。大企業が取引条件として高度な対策を一律に要求すれば、資金や人材に余裕のない取引先の負担が増し、供給網の維持そのものが難しくなるおそれがある。
したがって、発注側の企業には、基準を示すだけでなく、取引先が対策を実施できるよう支援する責任もある。共同訓練、脆弱性への対応手順の共有、相談窓口の提供、共通の安全基準の整備などを通じて、供給網全体の防御力を引き上げることが重要になる。
専門人材の深刻な不足
サイバー防御をめぐる構造的な問題として、専門人材の確保と育成が挙げられる。高度な攻撃を分析する技術者、監視システムを運用する担当者、事故対応を指揮する責任者、法令や契約に詳しい担当者など、必要な役割は多岐にわたる。
情報処理推進機構が公表している企業の情報セキュリティ対策に関する調査でも、中小企業を中心に、対策を担う人材や予算の不足が課題として取り上げられてきた。専門人材の不足は、単に採用人数が少ないという問題ではなく、既存の担当者が通常業務とセキュリティ対応を兼務し、十分な監視や訓練に時間を割けないという形でも現れる。
大企業であっても、必要な専門知識をすべて社内で確保できるとは限らない。新たな攻撃手法や製品に対応するには継続的な学習が必要であり、事故対応の経験は実際の事案を通じて蓄積されるため、採用だけで短期間に防御能力を完成させることは難しい。
人材不足を補う方法として、外部の専門事業者への委託、複数企業による共同利用、監視や報告作業の自動化などが考えられる。これらは限られた人員を有効に活用するうえで有効だが、外部委託先の判断に全面的に依存すると、自社の業務にどの程度の危険があるのかを経営側が把握できなくなるおそれもある。
そのため、企業はすべての技術業務を自社で実施する必要はないものの、重要な情報資産、許容できる業務停止時間、事故時の意思決定権限などについては、自ら判断できる体制を維持する必要がある。外部の専門家を活用しながらも、経営判断と責任の所在を社内に残すことが重要である。
教育面では、専門職だけでなく、一般の従業員や管理職に対する訓練も欠かせない。不審なメールの見分け方、認証情報の保護、情報の適切な取り扱い、事故発生時の報告方法などを理解していなければ、技術的な防御が整っていても、人的な要因から被害が発生する可能性がある。
今後は、専門人材の採用競争だけに頼るのではなく、社内教育、職種別の技能評価、実践的な事故対応訓練、専門事業者との連携を組み合わせる必要がある。防御能力を特定の担当者の経験に依存させず、組織として継続的に維持できる仕組みを構築することが、長期的な課題となる。
今後の展望と求められる対策
日本企業がサイバー攻撃への対応力を高めるには、侵入を防ぐための対策だけでなく、侵入された場合に被害を限定し、重要な業務を継続し、短期間で復旧するための体制を整える必要がある。攻撃手法が変化し続ける以上、すべての侵入を事前に防止できるという前提ではなく、複数の防御策を重ね、事故が起きても事業への影響を抑える考え方が重要になる。
最初に実施すべきなのは、自社が何を守るべきかを明確にすることである。顧客情報、決済機能、製造設備、受発注システム、認証基盤などを洗い出し、停止した場合の影響や復旧に必要な時間を評価すれば、限られた予算と人員を重要な領域に優先配分できる。
次に、利用者の認証とアクセス権限を見直す必要がある。多要素認証の導入、管理者権限の制限、利用されていないアカウントの停止、認証情報の定期的な確認などを組み合わせることで、盗まれたパスワードや不正に取得されたアカウントが被害につながる危険を抑えられる。
システムの脆弱性管理も欠かせない。公開された脆弱性を把握し、影響を受けるシステムを特定し、危険度に応じて修正する手順を整える必要があるほか、直ちに修正できない場合には、外部からの接続を制限するなどの暫定措置を講じることが求められる。
さらに、事故発生時の対応手順を文書化し、実際に訓練することが重要である。技術担当者が侵入を検知しても、システムを停止する権限や経営者への報告経路が不明確であれば、対応が遅れる可能性があるため、技術部門、経営部門、法務部門、広報部門の役割を事前に定めておく必要がある。
復旧に向けては、バックアップを作成するだけでなく、そのデータから実際にシステムを復元できるかを確認しなければならない。バックアップが本番環境と同じ認証基盤やネットワークに依存している場合、攻撃によって同時に利用不能となるおそれがあるため、分離した保管環境や改ざんされにくい保存方法を組み合わせることが望ましい。
また、企業は自社だけでなく、外部委託先や取引先の事故が業務に与える影響も評価する必要がある。代替の調達先、手作業による暫定運用、緊急時の連絡方法などをあらかじめ準備しておけば、外部のシステムが停止した場合でも、重要な業務を維持できる可能性が高まる。
対策の効果を高めるには、計画を作成して終わりにせず、定期的に見直すことが不可欠である。攻撃手法、事業内容、システム構成、取引関係は変化するため、訓練や実際の事故から得た教訓を手順や設備に反映し、組織の対応能力を継続的に改善する必要がある。
「防御からレジリエンス（回復力）へ」の転換
サイバーセキュリティの考え方では、侵入を防ぐことを中心とした対策から、攻撃を受けた後も事業を維持し、回復できる能力を重視する方向への転換が進んでいる。ここでいうレジリエンスとは、単にシステムを復旧させる能力ではなく、被害を受けても重要な機能を維持し、状況に応じて業務を切り替え、通常の状態へ戻るまでの一連の能力を意味する。
例えば、製造企業が受発注システムへの攻撃を受けた場合、システムを全面停止して調査することが安全上必要になる場合がある。しかし、停止が長期化すれば、原材料の調達や製品の出荷が滞り、取引先にも影響が広がるため、どの機能を優先的に復旧させるかをあらかじめ決めておく必要がある。
この判断では、システムごとの重要度だけでなく、業務間の依存関係を把握することが重要になる。受注管理を復旧しても、認証基盤や在庫管理が停止していれば業務を再開できない場合があるため、技術的な復旧順序と実際の業務再開に必要な順序を一致させなければならない。
具体的には、業務継続計画と情報システムの復旧計画を連動させ、停止が許容される時間や、復元時点として許容できるデータの古さを定めることが有効である。これにより、事故発生後に経営者が初めて優先順位を検討する事態を避け、限られた復旧資源を重要な機能へ集中させられる。
また、復旧を急ぐあまり、侵入経路が残った状態でシステムを再稼働させてはならない。攻撃者が利用したアカウントや脆弱性を特定し、必要な修正と認証情報の更新を行い、安全性を確認したうえで段階的に業務を再開することが重要である。
レジリエンスを高めるためには、技術面の準備だけでなく、経営上の意思決定も必要になる。どの業務を一時停止するか、顧客や取引先へいつ説明するか、外部専門家へどの権限を与えるかといった事項を事前に整理しておけば、事故発生時の混乱を抑えられる。
企業は復旧訓練の結果を定量的に評価し、計画上の想定と実際の作業時間の差を把握するべきである。復旧に必要な時間、復元できたデータの範囲、意思決定に要した時間、取引先への連絡完了までの時間などを測定することで、改善すべき弱点を具体的に特定できる。
レジリエンスは、セキュリティ部門だけで完結する取り組みではない。事業部門、情報システム部門、経営者、取引先が共通の前提を持ち、事故が起きても重要なサービスを維持できる仕組みを整えることが、企業の信頼性を支える条件となる。
ＡＩ対ＡＩの攻防への適応
人工知能の普及は、サイバー攻撃と防御の双方において、処理速度と自動化の水準を引き上げる可能性がある。攻撃者が人工知能を使って標的の調査や詐欺文面の作成を効率化する一方、防御側も大量の通信記録や端末の操作履歴を分析し、不審な活動を早期に発見するために人工知能を活用できる。
情報処理推進機構の「情報セキュリティ10大脅威 2026」では、人工知能の利用をめぐるサイバーリスクが組織向け脅威の3位に初めて選ばれた。同機構は、人工知能による攻撃の容易化や手口の巧妙化に加え、業務で利用する人工知能への不適切な情報入力や、生成された結果を十分に検証しないことによる問題にも注意を促している。
防御側の人工知能は、通常の利用者の行動や通信の傾向を学習し、そこから外れた活動を検出する用途などに活用できる。例えば、深夜の管理者ログイン、通常とは異なる地域からの接続、短時間に行われた大量の情報取得などを組み合わせれば、個々の操作だけでは判断しにくい異常を発見する手掛かりとなる。
ただし、異常を検知することと、攻撃を正しく特定することは同じではない。正当な業務による大量処理を攻撃と誤認すれば業務が停止する一方、攻撃者が通常の利用者の行動に似せて活動すれば検知を回避される可能性もあるため、複数の検知方法と人間による判断を組み合わせる必要がある。
また、攻撃者が防御システムの検知傾向を調べ、発見されにくい操作を選ぶ可能性にも備えなければならない。防御側は、検知ルールや分析方法を継続的に更新するとともに、重要な操作については追加認証を求めるなど、人工知能の判定だけに依存しない多層的な仕組みを整えることが重要である。
人工知能を導入する際には、分析に使用するデータの品質や、判定の根拠を確認できる仕組みも必要になる。学習データに偏りがあったり、システムが想定していない新しい攻撃手法が現れたりすれば、検知精度が低下するおそれがあるため、定期的な性能評価と人間による監督を組み込むべきである。
さらに、人工知能自体を保護する対策も欠かせない。利用者が入力できる情報の制限、機密情報へのアクセス権限の管理、生成結果の検証、利用履歴の記録などを行い、人工知能が情報漏洩や不正な操作の経路にならないようにする必要がある。
今後の競争では、人工知能を導入しているかどうかよりも、人工知能を安全に運用し、誤判定を修正し、実際の事故対応に結び付けられるかどうかが重要になる。攻撃側と防御側の双方が自動化を進めるなかで、技術の導入と組織の判断能力を一体化させることが、防御力を維持する条件となる。
経営課題としてのセキュリティ投資
サイバーセキュリティ対策を継続的に強化するには、経営者が情報セキュリティを事業上の重要なリスクとして認識し、必要な予算と人員を確保することが不可欠である。セキュリティ部門だけに責任を負わせると、対策の優先順位が事業上の重要度と一致しなくなり、重大な情報資産が十分に保護されない可能性がある。
経済産業省の「サイバーセキュリティ経営ガイドライン」では、経営者が認識すべき重要事項や、組織として対策を進めるための考え方が整理されている。この考え方の要点は、技術的な対策を担当部署に任せきりにするのではなく、経営者がリスクを把握し、責任者を明確にし、必要な資源を配分することである。
投資の優先順位を決める際には、すべてのシステムに同じ水準の対策を施すのではなく、被害が事業に与える影響を基準に考える必要がある。例えば、決済や受発注を担うシステム、重要な顧客情報を保有する基盤、製造設備を制御するシステムなどは、停止や情報漏洩による影響が大きいため、優先的に保護する合理性が高い。
一方、予算を増やせば必ず安全性が向上するわけではない。利用状況を把握しないまま製品を追加すると、警告の確認や設定管理の負担が増え、重要な異常を見落とす原因になる可能性もあるため、既存の設備を含めて運用全体の効果を評価することが重要である。
経営者は、投資額だけでなく、対策によってどのリスクがどの程度低下したのかを確認する必要がある。脆弱性の修正にかかる時間、重要なアカウントへの多要素認証の適用状況、復旧訓練の結果、取引先の管理状況などを指標として用いれば、対策の進捗を具体的に把握できる。
また、サイバー攻撃による損失は、直接的な復旧費用だけでは測れない。業務停止による売上の減少、取引先への影響、顧客の信頼低下、法的対応、調査や説明に必要な人員の負担なども含めて評価することで、平時の対策に投資する必要性を経営上の判断につなげやすくなる。
中小企業では、専任の担当者や十分な予算を確保することが難しい場合もある。そのため、外部の専門事業者による監視サービス、共同で利用できる防御基盤、業界団体や公的機関の相談支援などを活用し、限られた資源で効果を得られる方法を選ぶことが現実的である。
最終的に、セキュリティ投資の目的は、事故を完全にゼロにすることだけではない。重大な事故の発生確率を下げ、発生時の損失を限定し、業務を安全に再開できる能力を確保することが、経営上の投資判断における重要な基準となる。
今後の展望
2026年10月時点の日本では、サイバーセキュリティーは情報システム部門だけの問題ではなく、企業経営、事業継続、個人情報保護、社会インフラの安定運用に関わる課題となっている。2026年9月前後には国内組織で不正アクセスや個人情報漏えいの公表が相次ぎ、JPCERTコーディネーションセンターは10月8日、複数の製品やサービスで確認された被害について注意喚起を行った。
今回の注意喚起で重要なのは、一般利用者向けのサービスだけでなく、業務用の情報分析ツールや従業員管理システムなども侵入経路になり得ると指摘された点である。社内向けだから安全、利用者が限られているから危険性が低いという前提は成立しない。インターネットから到達できるシステム、外部サービスと連携する仕組み、管理者権限を持つアカウントについて、組織全体で棚卸しと点検を行う必要がある。
今後は、攻撃を受けてから対処する方式に加え、攻撃者が利用する情報や侵入の兆候を平時から収集し、被害が起きる前に対策を講じる方式が重視される。富士通は2026年9月、脅威情報の収集、外部公開資産の調査、脅威ハンティングを組み合わせた支援サービスを発表し、10月から始動する専門組織との連携も示した。こうした動きは、防御を単一製品の導入ではなく、情報収集、分析、判断、対処をつなぐ継続的な活動として提供する方向を示している。
一方、専門サービスを契約すれば安全が保証されるわけではない。外部の専門家が脅威を検知しても、顧客企業側で対処の責任者が決まっていない、システム停止の判断基準がない、復旧手順が整備されていないといった問題があれば、実際の被害を抑えることは難しい。企業は外部事業者に任せる業務と自社が保持する責任を明確にし、緊急時の意思決定を訓練しておかなければならない。
まとめ
日本企業のサイバー防御をめぐる現状は、攻撃件数の増加だけでは説明できない。デジタル化によって守るべき情報とシステムが増え、クラウドや外部委託によって管理範囲が広がり、人工知能の普及によって攻撃と防御の双方が変化している。これらが重なり、従来の境界型防御や担当者個人の経験に依存する運用では、リスクを十分に管理しにくくなっている。
IPAの「情報セキュリティ10大脅威 2026」では、組織向けの脅威としてランサム攻撃、サプライチェーンや委託先を狙う攻撃、人工知能の利用をめぐるサイバーリスクなどが挙げられた。これは、対策の対象が個別の機器やネットワークにとどまらず、取引先との関係、情報の取り扱い、業務の設計、経営判断にまで及ぶことを意味する。
企業が優先すべきなのは、すべての攻撃を完全に防げると考えることではない。重要な情報と業務を特定し、多要素認証や脆弱性修正、権限管理、ログ監視、バックアップなどの基本対策を徹底したうえで、侵入を早期に検知し、被害を限定し、事業を復旧させる仕組みを整えることである。さらに、委託先の安全管理、従業員教育、事故時の情報共有、経営層の関与を組み合わせなければならない。
大手電機各社が専門組織や人工知能を活用したサービスを強化していることは、企業の相談需要が高まり、対策の高度化が進んでいることを示す。ただし、サービスの拡充だけで国内全体の防御力が向上するわけではなく、専門人材の確保、費用を負担しにくい中小企業への支援、組織間の情報共有といった課題が残る。
最終的に問われるのは、攻撃を受けたかどうかだけではなく、被害をどこまで抑え、どれだけ早く復旧し、同じ原因による再発を防げるかである。サイバーセキュリティーを経営上の継続的な投資と位置づけ、防御と回復力を一体で高めることが、企業の信頼と社会の安定を支える条件となる。
参考・引用リスト
1. 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」
2. 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」を公表
3. JPCERTコーディネーションセンター（JPCERT/CC）「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」2026年10月8日公開、10月9日更新
4. 経済産業省「サイバーセキュリティ経営ガイドラインと支援ツール」
5. 富士通株式会社「企業や組織における能動的サイバー防御の実践を包括的に支援するセキュリティサービスを提供開始」2026年9月25日
6. 日本電気株式会社（NEC）「NECとAnthropic、フロンティアAIを活用したサイバーセキュリティ強化で協業を加速」2026年9月2日
7. 日本電気株式会社（NEC）「NEC、フロンティアAI時代の脆弱性対処を支援するセキュリティ向けAI技術『cotomi Security for Industry』を開発」2026年9月2日
8. 日本電気株式会社（NEC）「サイバーセキュリティ経営報告書2026」
9. 時事通信「サイバー防御、問い合わせ急増＝電機大手は体制強化―不正アクセス」2026年10月11日配信
10. 米国国立標準技術研究所（NIST）「NIST Releases Version 2.0 of Landmark Cybersecurity Framework」2024年2月26日
11. 内閣総理大臣官邸「サイバーセキュリティ戦略本部」2026年7月31日