攻撃者視点で再考するサイバーセキュリティ

AI時代の経営に求められる「侵入されても強い組織」

Article | 2026年10月13日

この記事は約9分で読めます

エグゼクティブサマリー

Red Teamテストで見えた現実：対策を導入していても、攻撃を止められるとは限らない。
多くの企業は、EDR（端末監視）を導入し、SOC（監視・検知）やCSIRT（対応・復旧）などの体制も整備しています。しかし、実際に攻撃してみると、侵入後の権限昇格や横展開を止められず、アラートが発生しても迅速な対応まで至らないケースが多くありました。製品や体制があることと、攻撃を止められることは同じではありません。
取るべき行動：まず自組織のリスクを可視化する。
世にあるリスクと、自組織が実際に抱えるリスクは必ずしも一致しません。リスクが分からないままセキュリティ施策を導入しても、何に効いているのかを判断できません。まずリスクを可視化し、有効な対策を見極める。その上で、検知・対応の仕組みを強化する。この順番が重要です。リスクを放置したままでは、検知する前に攻撃目標を達成されてしまいます。
目指すべき未来：侵入されても、攻撃目標を達成させない組織へ。
すべての侵入を完全に防ぐことは困難です。重要なのは、侵入されても権限昇格や横展開を許さず、攻撃者の活動を検知し、最終的な攻撃目標を達成される前に止めることです。改善と検証を繰り返す中で蓄積されるログ、検知ルール、対応ノウハウは、将来的なAI活用の土台にもなります。

自社のセキュリティは、攻撃者の目にはどう映っているのでしょうか。本稿では、Red Teamの実践から見えてきた、組織の守りの盲点をひも解きます。

サイバーレジリエンス強化のアプローチを見る

サイバーセキュリティはIT課題から経営課題へ変わった

企業経営を取り巻くリスクは大きく変化しています。労働力不足、地政学リスク、サプライチェーンの複雑化に加え、AIの急速な進化によってサイバー攻撃の規模と巧妙さはかつてない水準に達しつつあります。富士通が2026年2月、北米、欧州、APACの10カ国1,000人のCxOに対して実施した調査（*1）では、ビジネスにおける脅威となる外部要因のトップに「サイバー攻撃の激化」が挙げられ、AI導入においても情報漏洩やセキュリティへの懸念が最大の課題となっています。

さらに、近年ではサプライチェーンやクラウドを通じて企業同士が深く接続されています。1社のセキュリティ事故が顧客や取引先、社会インフラにも影響を及ぼしかねません。日本政府は2026年に公表したサイバーセキュリティ対策パッケージ「Project YATA-Shield」の中で、経営層主導によるセキュリティ強化とAI活用の重要性を示しています。

サイバー脅威の侵入を防ぎきるのはほぼ不可能です。富士通では、実際の攻撃者と同様のプロセスでRed Teamテストを実施しています。対象企業から事前情報の提供なしで侵入を試み、権限昇格や横展開を行いながら、最終的な攻撃目標の達成を検証しています。直近の22社へのRed Teamテストでは、すべての企業への侵入に成功しています。また、攻撃目標の達成を完全に阻止できた組織はありませんでした（図1）。

Red Teamテスト結果サマリー。対象企業22社、侵入成功率100%、攻撃目標の達成を阻止できた企業は0社。

図表1：Red Team テスト結果サマリー
※2026年1～8月に富士通が実施した22社のRed Teamテスト結果。半数以上が従業員1万人超。本結果は対象22社に限り、企業全般の侵入率を示すものではありません。

注目すべきなのは、テスト対象とした企業の多くが、すでに製品導入や体制構築などの対策を実施していたにも関わらず、阻止できなかったことです。侵入を前提とした権限管理やアクセス管理が十分に行われておらず、本来アクセスする必要のないシステムに到達可能な環境も確認されました。また、人やプロセスに起因する課題によって侵入後の活動を妨げる障壁がほとんど存在しないケースも見受けられるなど、検知後の対応にも課題がありました。

こうした課題を現場が認識できていても、人員、予算、権限、事業影響などの制約から改善に着手できていないケースが多くあります。権限管理やアクセス制御を見直すには、業務プロセスや役割分担の変更も必要です。セキュリティはもはや情報システム部門だけの問題ではなく、事業継続や企業価値に直結する経営課題なのです。

攻撃者にとって、侵入はスタート地点にすぎない

多くの企業は脆弱性対策を実施し、セキュリティ製品やサービスも導入済みです。しかし、攻撃者視点ではそれらの対策や製品・サービスの有無が守りの強さと一致するとは限りません。攻撃者は外部公開システム、従業員端末、物理セキュリティなどの侵入口を組み合わせて攻めていきます。

外部公開システムに脆弱性や設定不備がなく、従業員端末もEDR（Endpoint Detection and Response：端末監視）や通信制御によって堅牢な場合もありますが、攻撃できないわけではありません。技術的な侵入が難しい場合でも、オフィスに侵入し、壁に掲示されたWi-Fiパスワード、付箋に書かれた認証情報、ロックされていない端末などの情報から次の足掛かりを得るケースもあります。

侵入に成功すると、次は組織内部での活動に移ります。その時、攻撃者は次の観点で組織を評価します（図2）。

攻撃者の判断基準を示した図。管理者権限の取得や横展開の可否、検知・対応の回避可否、機密情報窃取やランサムウェア感染などの攻撃目標を達成できるかを評価する。

図表2：攻撃者の判断基準

攻撃者にとって、侵入はスタート地点です。管理者権限を取得し、検知を回避しながら活動範囲を広げ、最終的な目標達成を目指します。重要なのは、攻撃者から組織を守れる状態になっているかどうか、という点です。

攻撃者が嫌がるのは、活動を「止められる」組織

攻撃者が嫌がるのは、侵入された後に「管理者権限を取得できず、自由に活動できず、検知・対応される組織」です（図3）。侵入後の攻撃難易度は組織によって大きく異なります。攻撃難易度を大きく左右するのは、権限昇格と横展開のしやすさです。

攻撃者が嫌がる組織の特性。最小権限とアクセス制御により権限昇格や横展開ができず、多層防御によって検知・対応され、最終的な攻撃目標を達成できない状態を示す。

図表3：攻撃者が嫌がる組織

多くの組織では、管理者アカウントや認証情報の管理が不十分で、それらを参照してログインするだけで権限昇格に成功しました。一般従業員の権限で広範囲にアクセスでき、認証サーバなどの重要システムも同一ネットワーク上に存在していました。そのため横展開に苦労するケースはほとんどありませんでした。

一方で、高権限アカウントが厳格に管理され、ログインの経路も限定されている組織や、最小権限やネットワーク分離が徹底されている組織では、侵入できても活動範囲が限定され、権限の昇格や横展開は困難です。

さらに攻撃者が嫌がるのは、迅速な検知と対応です。実際のテストでは、攻撃に対するアラートが発生しているケースもありました。しかし、検知できていても、ほとんどは迅速な対応（端末の隔離やアカウントの停止など）まで至りませんでした。攻撃者が注視するのは、「検知される」ことではありません。活動を「止められる」ことです。

攻撃者視点で見ると、特権アカウント管理、最小アクセス / 最小権限、ネットワーク分離、検知後の迅速な対応など、基本的な対策こそが最も大きな障壁になります。攻撃者の目的は侵入することではなく、最終的な目標（ランサムウェア感染や機密情報の窃取など）を達成することだからです。

AIでサイバー攻撃と防御はどう変わるか

AIの進化はサイバー攻撃にも大きな影響を与えています。侵入経路を探し、権限昇格や横展開を行うなどの作業をAIが支援するようになっています。

例えば、生成AIに「アンチウイルスソフトに検知されにくいマルウェアを作成して」、「日本人にとって自然なフィッシング文面にして」といった指示をすることで、一定の技術力・言語力が必要だったタスクが実行可能になりました。近年は「Claude Mythos（以下、Mythos）」のようにサイバーセキュリティ分野で高い能力を示すAIも登場し、これまで人間が時間をかけて実施していた脆弱性調査や設定不備の確認を短時間で実施できるようになりつつあります。

しかし、過剰な権限設定や検知後の対応の課題は、MythosのようなAIで脆弱性を探すことでは解決できません。優先すべき対策は、管理者権限を取得できず、自由に活動できず、検知・対応される組織を作ることだと考えます。

サイバー攻撃対策へのAI活用は今後必須になると見ています。AIを活用することで、一つひとつは正常に見える操作を関連付け、攻撃の流れとして捉えられる可能性があります。そのためには、攻撃を可視化するためのログが取得できていることが必須条件です。AIはデータがなければ分析できません。

実際には、多くの組織で必要なログが取得できていない、あるいは取得していても十分に活用できていない状況が見られます。AIは万能ではありません。まずは基本的な対策を整備し、検知・対応の仕組みを構築することが重要です。その土台が整って初めて、AIを活用した高度な分析や防御が現実的な選択肢になります（図4）。

AI活用に必要な土台。基本的な対策、データ蓄積、検知・対応の仕組みを基盤として、AIを活用した防御を実現するモデル。

図表4：AI活用に必要な土台

おわりに　継続的な改善サイクルが組織を強くする

Red Teamテストによって組織に潜在するリスクは可視化できます。重要なのは、見つかった課題をどのように改善につなげるかです。

対策は、人（People）、プロセス（Process）、テクノロジー（Technology）の3つの観点から進める必要があります。テクノロジーの改善は比較的進めやすい一方、人やプロセスの変革には時間がかかります。管理者権限の見直し一つをとっても業務プロセスや役割分担の変更が伴います。

だからこそRed Teamテストの価値は、技術的な課題を見つけることだけではありません。リスクを可視化し、経営層や事業部門を含めて組織全体が改善へ向けて動き出すきっかけをつくることにあります。

その次に取り組むべきなのが、Blue Teamによる検知・対応の強化です（図5）。組織の成熟度に応じてログ取得や監視体制の整備、検知ルールの改善を進めます。さらに、「脅威ハンティング」によって潜在的な脅威を能動的に調査、発見し、必要な対応につなげます。

検知・分析・対応の各プロセスを継続的に改善し、組織の検知・対応能力を高めるBlue Teamの取り組みを示した図。

図表5：Blue Teamで実施すべきこと

検知・対応が整ったら、次はPurple Teamによって、攻撃者が利用する手法や既知の攻撃を用いて、ログ取得、検知、判断、対応までの一連のプロセスを検証し、組織の対応能力を継続的に高めていきます。

リスクを可視化し、防御を強化し、対応力を高める。この改善サイクルを回し続けることで、組織は「侵入されない組織」ではなく、「侵入されても攻撃目標を達成させない組織」へ近づいていきます。その過程で蓄積されるログ、検知ルール、対応ノウハウが、将来的なAI活用の土台となります。

重要なのは、変化する脅威に合わせて組織自身を進化させ続けることです。攻撃者が巧妙になり続ける時代だからこそ、企業にもまた、学びと実践を続ける力が求められています。それこそが、AI時代における競争力であり、真のレジリエンスなのです。

（*1）2026年度富士通 CxO調査レポート（10カ国1,000名のCxOを対象に実施した調査）

佐藤丈師
Takeshi Sato
Lead of Security Consulting, Uvance Wayfinders

大手通信会社で脆弱性診断およびSOC分析業務に従事した後、外資系セキュリティベンダーにてRed Teamテスト（実際の攻撃を模倣し防御の弱点を探す実践検証）のビジネスとホワイトハッカーチームのリードを担当。攻撃シミュレーションと対策提言を専門とし、数多くの企業のリスクを可視化し、セキュリティ施策の最適化を支援。2025年より富士通「Uvance Wayfinders」に参画し、ホワイトハッカーとしての知見と富士通のリソースを融合させ、対サイバー攻撃を中核とした新しいセキュリティコンサルティングの確立を目指す。