防御と検知は進むも「特定」が最低水準
米国国立標準技術研究所（NIST）の「サイバーセキュリティフレームワーク（CSF）2.0」を評価軸とした成熟度診断では、異常発生を特定する「検知（DETECT）」のスコアが平均2.86、情報を保護する「防御（PROTECT）」が平均2.56となりました。一方で、自社の公開資産やアタックサーフェス（攻撃対象領域）を把握する「特定（IDENTIFY）」は平均1.99にとどまり、6機能の中で最も低い水準であったことが明らかになりました。
この結果は、「EDR（Endpoint Detection and Response）や次世代アンチウイルスを導入して守っているつもり」でありながら、守るべき対象そのものを把握できていないという「非対称性」が存在することを示唆しています。攻撃者にとって、企業が認識していない資産は最も攻撃しやすい入口となる、と同社は分析しています。
半数超の企業が属人的な対応に滞留か
インシデント発生時の対応態勢に関する調査では、全体の約51.6％が、基本的な対策は実施しているものの、手動や属人的な運用にとどまる「レベル2（属人化）」に滞留している実態が判明しました。さらに、検知されたインシデントへの対応を示す「対応（RESPOND）」のスコアは平均2.04、「復旧（RECOVER）」は平均2.16と低い結果でした。これは、各企業において定石の製品は導入されているものの、全社共通の運用手順定義やインシデント訓練が不足している状態だと推測されます。
実際のインシデント対応現場では、ログや資産リスト・構成図がないために遮断すべき機器が判断できず全拠点停止を余儀なくされる事例や、「業務を止める権利」を持つ責任者が不明確で判断が遅れる間に被害が全社へ拡大する事象も確認されているといいます。
事業現場と情報システム部門に認識ギャップ
「特定（IDENTIFY）」スコアを回答者の所属部門別に見ると、事業現場部門が平均2.57、情報システム部門が平均1.86と、約0.71ポイントの開きがみられました。この差は、実態を把握している情報システム部門ほど自社を厳しく評価しており、現場の対策が進んでいることを示すものではなく、両者の認識のずれを表しているとされています。
緊急インシデントの約4分の1は「EDR未導入端末」が起点
サイバーリーズンのGSOCが2026年1月から7月にかけて、MDR（Managed Detection and Response）サービスを提供する国内顧客企業の環境で観測した、重大な被害に至る恐れのあった事案について根本原因を分析しました。その結果、「EDRを導入済みでありながら、一部のEDR未導入端末が攻撃されたケース」と「外部公開サーバーの脆弱性を突かれたケース」がそれぞれ約25.0％と、最も多い侵入要因となっていました。
EDRを導入済みの企業であっても、他のEDR未導入端末が侵入の足がかりになっている実態が確認されています。GSOCが現場で見た「死角」の背景は、主に次の3つに整理されます。
-
IT資産管理の把握漏れ：部署が独自に購入した端末、開発・テスト用に立ち上げられ放置された「野良サーバー」、M&A先や海外子会社の端末、退職者の放置端末など、管理者が存在自体を知らないケース
-
技術的・契約上の制約：工場（OT環境）の計測器、医療機器、POSレジなどで動くレガシーOS、サードパーティ製ソフトを入れるとベンダーサポート対象外になる専門機器など、リスクは把握していても物理的に導入できないケース
-
外部・委託先の持ち込み端末：業務委託先や保守ベンダーが持ち込む作業用PCなど、社内ネットワークに接続されるが自社の管理権限が及ばないケース
インシデント環境には旧世代OSが残存
国内のMDR顧客のWindows一般端末のバージョン分布を比較すると、日本拠点全体ではWindows 11が約93.9％、Windows 10が約5.8％であるのに対し、米国とEMEA（欧州・中東・アフリカ）も含めた全世界でインシデントに遭った環境ではWindows 10が約28.0％、Windows 7も約1.3％残存しており、旧世代OSの比率が顕著に高くなっていました。
サーバーについても、インシデントに遭った環境ではWindows Server 2019が約48.1％、2016が約16.9％を占めています。Windows Server 2016以降はMicrosoftのサポート期間内ですが、その上で動くソフトウェアやミドルウェアが先にサポート終了となれば、システム全体としての防御力は低下する可能性が指摘されています。
専門家のコメントと今後の課題
サイバーリーズン合同会社 執行役員 セールス・エンジニアリング統括本部の有賀 正和氏は、日本企業のセキュリティが「ツール導入の問題」から「組織とプロセスの問題」へ移行したという事実を指摘しました。資産の可視化と、有事に誰が何を判断するかを定めた組織的なプロセスの整備が次の重要な一手であると強調しています。
同社グローバルSOC シニアマネージャーの渡邊 弘実氏は、攻撃者が「見えていない場所」から侵入している実態に言及。フロンティアAIによって脆弱性解析から攻撃コード作成までの時間が短縮される中、資産の棚卸しと積極的なアップデート推進、および定期的なセキュリティ診断や侵入テストによる「死角の洗い出し」を平時のうちに実施することの重要性を訴えました。
サイバーリーズン合同会社は、米国に本社を置き、エンドポイントやクラウドなど企業のエコシステム全体を標的にしたサイバー攻撃を終息させるため、XDR、EDR、EPPソリューションとMDRサービスなどのセキュリティサービスを提供しています。Cybereason Defense Platformは、進化し続けるランサムウェア攻撃や高度な攻撃手法に対して防御、検知、対応能力を提供し、サイバー脅威データをビジネスにおける実用的な意思決定手段に変えることを目指しているとのことです。
ソース元
-
プレスリリース: サイバーリーズン、国内405社の成熟度診断とGSOC観測データの分析結果を発表