「サイバー攻撃は日々高度化・複雑化」は聞き飽きた？ 企業が陥る「複雑化のわな」：特集：ID・パスワードから始める「引き算」のセキュリティ（1）

ランサムウェアや情報漏えいが相次ぐたび、「攻撃が高度化した」という言葉が繰り返される。しかし現場を取材すると見えてくるのは別の現実だ。製品を増やすほど運用は複雑になり、重要なアラートを見逃し、基本対策は後回しになる――。企業を本当に危険にしているのは攻撃者なのか、それとも自ら作り上げた「複雑さ」なのか。その構造をひもとく。

[田渕聖人，＠IT]

　「サイバー攻撃は日々高度化・複雑化しており、従来の対策では防ぎ切れない」

　セキュリティベンダーのプレスリリースやニュース解説では、もはや定番ともいえる表現だ。攻撃者は実際、AIを使うのも当たり前になり、ゼロデイ脆弱（ぜいじゃく）性の悪用や巧妙なフィッシング、検知回避技術などを駆使し、攻撃を進化させている。しかし相次ぐランサムウェア被害や情報漏えいインシデントを見ていると、一つの疑問が浮かぶ。

　企業の被害を拡大させているのは、本当に攻撃の高度化だけなのだろうか。

　取材を重ねると、多くの現場から聞こえてくるのは別の問題だ。「セキュリティ製品を増やし過ぎて運用が回らない」「EDRのアラートを処理し切れない」「ツール同士が連携せず、インシデント対応に時間がかかる」。攻撃への対抗策として製品を積み重ねた結果、かえって現場が疲弊しているという声はよく聞く。

　そこで見えてくるのが、企業自らがセキュリティを必要以上に複雑化させているという構図だ。ゼロトラストや多層防御といった考え方自体は重要である。しかし、その理念ではなく「新しい製品を追加すれば安全になる」という発想が先行すると、運用負荷だけが膨らみ、本来優先すべき基本対策がおろそかになるだろう。

　本特集「ID・パスワードから始める「引き算」のセキュリティ　ゼロトラスト狂騒曲の果てに」では、企業が陥りがちな「複雑化のわな」をひもときながら、本当に見直すべきポイントを考える。

積み上げた対策が現場を苦しめる　「アラート地獄」の実態

　セキュリティ業界では「多層防御」や「ゼロトラストアーキテクチャ」の重要性が広く認識されるようになった。ネットワーク境界だけに依存せず、エンドポイントやアイデンティティー、データなど複数のレイヤーで防御する考え方であり、その方向性は合理的だ。

　しかし現実には「必要な対策を設計する」よりも、「新しい製品を追加する」ことが目的化してしまうケースがある。既存のファイアウォールやUTMに加え、EDRやNDR、CASB、SIEM、SOARなどを次々に導入した結果、多数の製品が並ぶツギハギの環境が出来上がる。

　製品ごとに管理画面や設定方法、ログ形式が異なるため、運用担当者は複数のコンソールを行き来しなければならない。インシデント発生時も、原因究明や影響範囲の特定に時間を要し、迅速な対応を阻害する要因となる。

　その象徴が「アラート地獄」だ。高機能なEDR／NDRは膨大なイベントを検知する一方、それらを適切に分析・優先順位付けできる体制がなければ、運用担当者は大量の通知に埋もれてしまう。結果として、本当に重要なアラートを見逃したり、通知そのものが形骸化したりするケースもある。高額な製品を導入していても、十分に活用できなければ、本来期待した効果は得られない。

「何か対策をしなければ」が生む場当たり的な投資

　なぜ、このような状況に陥るのか。その背景には、経営層と現場との認識のずれがある。

　経営層は他社のインシデントを目にして危機感を抱く一方、自社にとって本当に優先すべきリスクを把握することは容易ではない。そのため「ゼロトラストを構築しているかどうか」「最新のEDRを導入しているかどうか」といった、製品やキーワードを中心とした議論になりやすい。

　一方、現場にも事情がある。予算を獲得するには、既存環境の改善や運用体制の見直しよりも、「新たな脅威に対応する製品を導入する」という提案の方が理解を得やすい。加えて、導入実績は経営層への説明材料にもなるため、結果として運用改善よりも新規導入が優先されやすい構造が生まれる。

　こうして「まずは何か新しい対策を導入する」という場当たり的な対応が繰り返される。本来であれば優先すべきパッチ適用や設定の見直し、不要なアカウントや権限の整理といった基本的な対策が後回しになり、運用だけが複雑化する。

可用性と形式主義が「基本対策」を後回しにする

　新しい対策を講じる一方で、置き去りにされがちなのが基本的なセキュリティ運用だ。

　その代表例が、ビジネスの可用性とのトレードオフである。「システムを止められない」「メンテナンス時間を確保できない」といった理由から、重大な脆弱性が判明していてもパッチ適用や再起動が先送りされるケースは珍しくない。リスクを認識しながらも、事業継続を優先せざるを得ない状況は、多くの企業で見られる。

　もう一つの課題が、認証制度や監査への過度な依存だ。プライバシーマークや各種認証、セキュリティ監査は重要な取り組みだが、チェックリストを満たすこと自体が目的化すると、実際の脅威への対応力とは乖離（かいり）してしまう。書類上の適合と、実際の防御力は必ずしも一致しない。

　さらに、認証情報の管理における基本的な問題も依然として多い。特権IDの共有や開発環境への平文パスワードの保存、初期設定のまま放置された管理者アカウントなどだ。近年のインシデントでは、こうした認証情報が悪用されて侵入を許すケースも多くなっている。どれほど高度な防御を整えていても、正規の認証情報が悪用されれば、攻撃者は正当な利用者として内部に入り込んでしまう。

サプライチェーンに広がる「見えない穴」

　企業の防御力を左右するのは、本社だけではない。

　グループ会社や海外拠点、委託先といったサプライチェーンを経由した侵入も相次いでいる。本社のセキュリティレベルが高くても、ガバナンスの及ばない拠点や取引先に弱点があれば、そこが侵入口になる可能性がある。

　「海外拠点は現地任せ」「グループ会社までは統一した運用ができていない」。こうした状況はよくあるケースで、攻撃者は最も侵入しやすい場所を狙う。本社だけを守る発想では、企業グループ全体のリスクを十分に低減することは困難だろう。

求められるのは「足し算」ではなく「引き算」

　攻撃が高度化していることは事実だ。しかし、その高度な攻撃に対応するためにも、まず必要なのは複雑化した環境を整理することではないだろうか。

　最新技術や新製品を検討する前に、自社のIT資産を把握し、認証情報や権限管理、パッチ運用といった基本を見直すことが重要だ。近年のランサムウェアや情報漏えいでも、認証情報の悪用は重要な侵入経路の一つとなっている。

　強固な認証基盤の整備、多要素認証（MFA）の適用、不要な権限の削除、適切なパッチ管理。決して目新しい施策ではない。しかし、こうした基本を確実に実践することこそ、複雑化したセキュリティ環境を立て直すための重要な第一歩となるだろう。

　次回は、第一線で活躍する専門家への取材を通じて、「何を増やすか」ではなく「何を減らし、何を優先するべきか」という視点から、認証情報の保護がセキュリティ対策の中核となる理由と、その実践方法を詳しく解説する。