アイアイシー / IIC
— 防ぐだけでは足りない。早く気づき、被害を広げない仕組みづくり —
はじめに
企業への不正アクセスや情報漏洩のニュースを目にする機会が増えています。
大手企業がサイバー攻撃を受け、システムが停止したり、顧客情報が流出したりする。
場合によっては、復旧までに長い時間を要し、取引先や顧客にまで影響が広がります。
そして最近、こうした問題をさらに複雑にしているのがAIの存在です。
AIは業務を効率化する便利な技術ですが、攻撃する側も同じ技術を利用できます。
これまで専門的な知識が必要だった作業の一部をAIが支援できるようになり、
攻撃の準備や詐欺メールの作成などが、以前より容易になっています。
実際、IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威 2026」では、
「AIの利用をめぐるサイバーリスク」が組織向けの脅威として初めて選出され、3位となりました。
ただし、AIが原因で情報漏洩が急増したと単純に断定できるわけではありません。
従来からある攻撃手法がAIによって巧妙化・効率化されることが問題なのです。
では、企業はどう備えればよいのでしょうか。
今回は、ITに詳しくない方にも分かるように、
企業が取り組むべきセキュリティ対策を考えてみたいと思います。
AIによってサイバー攻撃はどう変わるのか
まず理解しておきたいのは、
AIによってまったく新しい攻撃方法だけが生まれているわけではない、ということです。
以前から存在していた攻撃が、より巧妙になり、効率的に実行される可能性が高まっています。
① 本物と見分けにくい詐欺メール
以前の詐欺メールには、不自然な日本語や怪しい表現が含まれていることもありました。
しかしAIを使えば、自然で丁寧な日本語の文章を簡単に作成できます。
例えば、取引先を装って、
- 「請求書の振込先が変更になりました」
- 「至急、添付資料をご確認ください」
といったメールを送ることも考えられます。
文章が自然だからといって、安全とは限らない時代になっています。
② 攻撃準備の効率化
サイバー攻撃では、対象となる企業のシステム構成や公開情報を調べる作業が行われることがあります。
AIは、こうした情報の整理や分析を支援できます。
もちろん、AIだけで簡単にどんなシステムにも侵入できるわけではありません。
しかし、攻撃者の作業負担を軽減する可能性があることは、
企業側も認識しておく必要があります。
③ 人をだます攻撃の高度化
技術的な弱点だけでなく、人間の心理を狙う攻撃にも注意が必要です。
例えば、経営者や取引先の担当者になりすましたメッセージ、
AIで生成された音声などが悪用される可能性があります。
こうした攻撃は、システムのセキュリティ対策だけでは防ぎきれません。
人がだまされることを前提に、重要な操作には別の確認手段を設けること が大切です。
まず企業がやるべき基本的な対策
サイバー攻撃への対策というと、
高額なセキュリティ製品を導入することを想像するかもしれません。
しかし、その前に確認すべきことがあります。
それは、自社の情報がどこにあり、誰がアクセスできる状態なのかということです。
① 重要な情報の保管場所を把握する
例えば、次のような情報です。
- 顧客情報や取引先情報
- 従業員の個人情報
- 契約書や見積書
- 社内の機密資料
- システムの管理情報
これらが、社内サーバー、クラウドサービス、個人のパソコンなど、
どこに保存されているのかを整理します。
情報の所在が分からなければ、何を守るべきかも明確になりません。
② アクセス権限を必要最小限にする
すべての従業員が、すべての情報を閲覧・変更できる必要はありません。
例えば、営業担当者が経理システムの管理者権限を持つ必要はないでしょう。
業務に必要な権限だけを付与することで、
不正アクセスが発生した場合の被害を抑えられます。
退職者や異動者のアカウントを放置しないことも重要です。
③ 多要素認証を導入する
パスワードだけでログインできる仕組みには限界があります。
そこで有効なのが、多要素認証です。
例えば、パスワードに加えてスマートフォンなどによる確認を求める仕組みです。
特に、メール、クラウドサービス、VPN、管理者アカウントには、
優先的に導入したい対策です。
可能であれば、フィッシング攻撃に強いパスキーやセキュリティキーの活用も検討します。
④ システムを最新の状態に保つ
OSやソフトウェアの更新には、セキュリティ上の問題を修正するものが含まれます。
古いシステムを放置すると、既知の弱点を狙われる可能性があります。
特にインターネットに公開しているシステムや、
外部から社内へ接続する機器については、優先的な管理が必要です。
⑤ バックアップを取る
ランサムウェアなどによってデータが暗号化された場合、
バックアップが復旧の助けになります。
ただし、バックアップを取っているだけでは不十分です。
- 本番システムとは分離して保管する
- 改ざんや削除から保護する
- 定期的に復元テストを実施する
といった運用が必要です。
なお、バックアップは業務復旧のための対策であり、
すでに外部へ持ち出された情報を取り戻せるわけではありません。
本当に重要なのは「不正アクセスに気づける状態」
ここからが、今回特にお伝えしたいポイントです。
セキュリティ対策は、不正アクセスを防ぐことだけが目的ではありません。
万が一侵入された場合に、できるだけ早く気づけることも同じくらい重要です。
どれだけ対策をしていても、侵入の可能性を完全にゼロにはできません。
問題は、侵入されたことに誰も気づかず、被害が拡大してしまうことです。
① ログを記録する
ログとは、システム上で発生した操作や出来事の記録です。
例えば、
- 誰がログインしたのか
- いつログインしたのか
- どこからアクセスしたのか
- どの情報にアクセスしたのか
- 管理者権限が変更されたか
といった情報を記録します。
ログがなければ、不正アクセスが疑われた際に、
何が起きたのかを調査することも難しくなります。
ただし、すべてのシステムで最初から詳細なログが取得できるとは限りません。
重要な操作を追跡できるよう、あらかじめ設定を確認しておく必要があります。
② 異常を検知する仕組みを作る
ログを保存するだけでは、問題に気づけません。
例えば、次のような動きを検知できると有効です。
- 深夜に管理者アカウントでログインされた
- 普段と異なる地域からアクセスがあった
- 短時間に大量のログイン失敗が発生した
- 大量のファイルがダウンロードされた
- 管理者権限が突然変更された
- セキュリティ設定やログ取得機能が無効化された
こうした動きを検知し、担当者に通知する仕組みを整えます。
もちろん、深夜のログインがすべて不正とは限りません。
重要なのは、普段の利用状況を把握し、
通常とは異なる動きを調査できることです。
③ 監視ツールを活用する
企業の規模やシステム構成によっては、専用の監視ツールが役立ちます。
例えば、EDRはパソコンやサーバー上の不審な動きを検知・調査するための仕組みです。
また、SIEMは複数のシステムからログを集め、異常の分析や検知を支援します。
ただし、導入すれば自動的に安全になるわけではありません。
検知された警告を誰が確認し、どのように対応するのか まで決めておく必要があります。
社内に専門担当者がいない場合は、外部の監視サービスを活用する方法もあります。
④ ログ自体を守る
意外と見落とされがちなのが、ログの保護です。
攻撃者がログを削除できる状態では、不正アクセスの証拠が失われる可能性があります。
そのため、重要なログは適切な権限管理のもとで保管し、
必要に応じて別の環境へ転送するなどの対策を検討します。
また、調査に必要な期間、ログを保存できるようにしておくことも重要です。
不正アクセスが疑われたら、最初に何をするべきか
ここまで予防と検知について説明しました。
では、実際に不正アクセスが疑われた場合はどうすればよいのでしょうか。
このとき重要なのは、
慌てて操作するのではなく、決められた手順で対応することです。
① まず被害の拡大を止める
不正アクセスが継続している可能性がある場合は、
被害を広げないための対応が必要です。
例えば、
- 不正利用が疑われるアカウントを停止する
- 影響を受けた端末をネットワークから隔離する
- 不審な外部通信を遮断する
- 必要に応じて関連サービスを一時停止する
といった対応です。
ただし、状況を確認せずにサーバーを初期化したり、ログを削除したりしてはいけません。
調査に必要な証拠まで失われる可能性があります。
端末の電源を切るべきかどうかも、状況や専門家の判断によって異なります。
② 何が起きたのかを調査する
次に、影響範囲を確認します。
- いつから不正アクセスが発生していたのか
- どのアカウントが利用されたのか
- どのシステムが影響を受けたのか
- どの情報が閲覧・取得された可能性があるのか
- 攻撃者が現在もアクセスできる状態なのか
この調査には、保存していたログが重要な役割を果たします。
自社だけで判断できない場合は、セキュリティ専門会社などへの相談が必要です。
③ 関係者へ速やかに報告する
不正アクセスの可能性を把握したら、社内の責任者や関係部署に速やかに共有します。
特に重要なのは、情報システム部門だけの問題にしないことです。
経営判断、顧客対応、法的対応、事業継続など、
複数の観点から判断する必要があります。
また、個人情報が漏洩した、あるいは漏洩したおそれがある場合には、
法令に基づく報告や本人への通知が必要になることがあります。
日本の個人情報保護法では、一定の要件に該当する漏洩等について、
個人情報保護委員会への報告が義務付けられています。
対象事案では、原則として発覚後速やかに、概ね3〜5日以内に速報を行い、
原則30日以内、不正な目的による行為のおそれがある場合などは60日以内に確報を行う仕組みです。
対象となる情報や事案の内容によって対応が異なるため、
最新の制度を確認し、必要に応じて専門家に相談することが重要です。
実際に情報が漏洩してしまったら
情報漏洩が確認された場合、技術的な復旧だけで問題が終わるわけではありません。
企業としての対応が問われるのは、むしろここからです。
① 事実と未確認情報を分ける
最初からすべての状況が分かるとは限りません。
例えば、
「不正アクセスは確認されたが、情報の持ち出しは調査中」
という状況も考えられます。
この段階で「情報漏洩はありません」と断定してしまうと、
後から事実が判明した際に信頼を損なう可能性があります。
確認できた事実、調査中の内容、今後の対応を分けて説明することが大切です。
② 顧客や取引先への影響を確認する
漏洩した情報の種類によって、必要な対応は変わります。
例えば、メールアドレスが漏洩した場合と、
パスワードや決済情報が漏洩した場合では、想定されるリスクが異なります。
被害の内容に応じて、
- 対象者への通知
- パスワード変更の案内
- 不審なメールへの注意喚起
- 問い合わせ窓口の設置
などを検討します。
③ 原因を取り除いてから復旧する
システムを元に戻すだけでは、同じ攻撃を受ける可能性があります。
侵入経路や悪用された権限などを調査し、原因を取り除くことが必要です。
また、バックアップから復元する場合も、
バックアップ自体が安全かどうかを確認しなければなりません。
復旧後も一定期間は監視を強化し、再侵入の兆候がないか確認します。
④ 再発防止策を具体化する
「セキュリティ対策を強化します」
という説明だけでは不十分です。
例えば、
- 多要素認証の適用範囲を拡大する
- 不要な管理者権限を削除する
- ログ監視を導入する
- 更新管理の運用を見直す
- インシデント対応手順を整備する
など、実施する対策と責任者を明確にすることが重要です。
中小企業こそ「全部を一度にやらない」
ここまで読むと、
「これだけの対策をするのは難しい」
と感じる方もいるかもしれません。
特に中小企業では、専任の情報システム担当者がいないケースもあります。
そのような場合、最初から大規模なセキュリティシステムを導入する必要はありません。
まずは優先順位を決めることが大切です。
例えば、最初の段階では次のような取り組みが考えられます。
最初に取り組みたい7つの対策
- 重要な情報とシステムを洗い出す
- 管理者アカウントとアクセス権限を見直す
- 多要素認証を導入する
- ソフトウェアの更新状況を確認する
- バックアップと復元手順を確認する
- 重要なログの取得と異常通知を設定する
- 緊急時の連絡先と初動対応を決める
この7つを整えるだけでも、セキュリティ管理の土台ができます。
もちろん、これだけですべての攻撃を防げるわけではありません。
しかし、何も整理されていない状態から比べれば、
予防・検知・対応の各段階で大きな改善が期待できます。
セキュリティ対策は「製品」より「運用」が重要
最後に、システム開発やプロジェクトマネジメントの立場から考えてみたいと思います。
セキュリティ対策は、どうしても製品や技術の話になりがちです。
しかし、どれだけ優れた製品を導入しても、
- 警告メールを誰も見ていない
- 退職者のアカウントが残っている
- バックアップを復元したことがない
- 緊急時の責任者が決まっていない
という状態では、十分な効果を発揮できません。
これは通常のシステム開発にも通じる話です。
システムは作って終わりではなく、
実際の業務の中で正しく使われ、運用されて初めて意味があります。
セキュリティも同じです。
「どう守るか」だけでなく、「どう気づき、誰が判断し、どう対応するか」まで設計すること。
そこまで考えて初めて、実効性のある対策になります。
まとめ
AIの進化によって、サイバー攻撃の手口は今後も変化していくと考えられます。
しかし、企業が取り組むべき基本的な考え方は大きく変わりません。
それは、
- 不正アクセスをできるだけ防ぐ
- 不審な動きを早く検知する
- 被害が発生したら拡大を抑える
- 正確な情報をもとに適切に対応する
- 原因を取り除き、再発を防ぐ
という一連の仕組みを整えることです。
特に大切なのは、「攻撃されないこと」だけを前提にしないことです。
どれだけ注意していても、セキュリティ事故が発生する可能性はあります。
だからこそ、万が一の状況でも落ち着いて対応できる準備が必要です。
IICでは、システムを構築するだけでなく、
業務の整理や運用設計、リスクを踏まえた仕組みづくりを大切にしています。
セキュリティ対策も特別なものとして切り離すのではなく、
日々の業務やシステム運用の中に組み込んでいくことが重要だと考えています。
「何から対策すればよいか分からない」
「今のシステムで不正アクセスに気づけるのか不安」
そんな段階からでも、まずは現状を整理することが第一歩です。
安心して事業を続けられる仕組みを、日頃から少しずつ整えていきたいものです。