1時間で損失3億 企業が見落とす「ダウンタイム」の真実：EDRを入れても守れない？

サイバー攻撃を完全に防ぐことが難しくなる中、企業にとって本当に大きな損失は「侵入」ではなく、その後に発生する業務停止かもしれない。セキュリティ投資が増え続けても、なぜダウンタイムは減らないのか。

[宮田健，＠IT]

　米国シアトルに本社を置くAbsolute Softwareは、2026年4月に「Absolute Security 2026 Resilience Risk Index」を公開した。サイバー攻撃の激化を背景に「侵入を防ぐ」だけでは十分ではないという認識が広がる中、このレポートでは被害そのものではなく、事業継続を脅かす「ダウンタイム（業務停止時間）」に焦点を当てている。

Absolute Softwareの藤田平氏（シニアシステムエンジニア）（筆者撮影）

　なぜ同社はダウンタイムをサイバーセキュリティの中心課題として捉えるのか。また、既存のEDR（Endpoint Detection and Response）やセキュリティ製品では見落とされがちな課題とは何か。Absolute Softwareの藤田平氏（シニアシステムエンジニア）に、レポートの内容と同社が考える「レジリエンス」の本質を聞いた。

防御だけでは防げない　企業を苦しめる「ダウンタイム」

　Absolute Softwareはレポートの中で、「企業はダウンタイムの時代にいる」というメッセージを掲げている。

　IT投資は拡大を続け、セキュリティへの年間支出も過去最高水準に達している。一方で、攻撃手法はゼロデイ攻撃や認証情報の悪用、サプライチェーン攻撃などへと多様化しており、「侵害される可能性」を前提にした対策が求められるようになっている。

　藤田氏は「これまでのサイバーセキュリティは予防や防止に重点を置いてきた。しかし近年では、防御を突破されるケースが増えており、従来の対策だけでは十分とは言えなくなっている」と話す。

　その代表例として普及したのがEDRだ。藤田氏はEDRを「防犯カメラだけでなく、異常を検知して警備員が駆け付ける仕組みまで含めたシステム」に例える。しかし、そのEDR自体が停止してしまえば、監視や調査、初動対応の基盤そのものが失われる。

　「記録が残らなければ、原因調査や復旧は非常に難しくなる。重要なのは侵害そのものだけではなく、その後に発生する業務停止、つまりダウンタイムだ」（藤田氏）

　同レポートによると、調査対象企業の83％がサイバーインシデントを経験していた。また、ダウンタイムによる年間平均損失額は4900万ドル（日本円で約77億円）に達し、調査対象企業の平均利益の約9割に相当する規模だったという。さらに大規模な障害では1時間当たり約200万ドル（日本円で約3億1600万円）の損失が発生し、復旧まで2週間以上を要した事例も確認されている。

ダウンタイムが財務リスクとなる（提供：Absolute Software）

　藤田氏は「侵害後の修復や復旧はEDRだけでは完結しない。今後はダウンタイムを最小化するという考え方にシフトする必要がある」と話す。サイバーレジリエンスとは、攻撃を完全に防ぐ能力ではなく、事業を止めない能力として捉えるべきだという。

多層防御が生む「管理の死角」

　同レポートではセキュリティ投資が増えている一方で、適切に保護された状態で稼働しているエンドポイントの割合は改善していない点も指摘している。保護されたエンドポイントの割合は2025年の81％から2026年には79.9％へとわずかに低下した。背景には、多層防御の進展による運用の複雑化があると同社は分析する。

　調査では、企業が導入するセキュリティツールは平均83種類に達していた。ツールが増えるほど管理コンソールも増え、ポリシー調整やエージェント管理は複雑になる。その結果、運用上の抜け漏れが生まれやすくなる。

エンドポイント保護の割合は減少。認識と実際の運用にギャップが生じていることが推測される（提供：Absolute Software）

　藤田氏は現場の実情を次のように説明する。

　「セキュリティ製品を導入したまま十分に運用できていないという声は多い。それぞれ別々のコンソールで監視する必要があり、エージェントが正常に動作しているかどうかを継続的に確認することが困難だ。結果として抜け漏れが生まれ、それが新たなリスクになる」（藤田氏）

　こうした状況は、生成AIの利用拡大によってさらに複雑化している。AIの実行環境がローカルPCにも広がる一方、多くの従業員はWebブラウザ経由で生成AIを利用する。そのため、エンドポイントで何が動いているのかを正確に把握する重要性はこれまで以上に高まっている。

　「レジリエンスを考えるなら、エージェントを導入するだけでは足りない。エージェントが常に正常に稼働していることまで保証しなければ、本当の意味で可視化は実現できない」（藤田氏）

エージェントが止まるという前提をどこまで考慮できているか？

　多くのセキュリティ対策は、エンドポイントで動作するエージェントを前提としている。しかしそのエージェント自身が停止してしまうケースは決して珍しくないという。

　停止の原因は攻撃者による無効化だけではない。ソフトウェア更新時の不具合や設定ミスによって正常に起動しなくなるケースもある。藤田氏は、自身が企業ユーザーを支援してきた経験から、アップデート時には一定割合で失敗が発生すると説明する。

　「アップデートでは一定数の失敗が発生する。サービスが起動しなければ管理サーバにチェックインできず、管理画面だけでは電源が切れているのかどうか、エージェントだけが停止しているのかどうか判断できない。利用者も気が付かないケースが多い」（藤田氏）

　その結果、管理者が認識しないままセキュリティ機能が停止し、「守られていると思っていた端末」が実際には保護されていない状態になる可能性がある。同レポートでは、エンドポイントが完全な保護状態から外れていた期間は年間平均76日だったとしている。ここでいう「保護状態」とは、必要なセキュリティ機能や管理エージェントが正常に動作している状態を指す。

　つまり、多くの企業はエージェントが動いていることを前提にセキュリティを設計している一方、その前提自体が崩れている可能性があるというわけだ。

「守る」だけでなく「動き続ける」を保証する

　近年は、脆弱（ぜいじゃく）なドライバを悪用してセキュリティ製品を停止・無効化する「BYOVD（Bring Your Own Vulnerable Driver）」のように、防御機能そのものを狙う攻撃も増えている。

　そのため、セキュリティ製品を導入するだけでは十分とは言えず、それらが正常に動き続ける状態を維持することも、レジリエンスの重要な要素となる。

　藤田氏は、「セキュリティエージェントが正常に機能し続ける状態をシステムとして保証することが、結果として業務中断を減らし、持続可能なセキュリティ運用につながる」と話す。

　「私たちは攻撃を直接防ぐ製品を提供しているわけではない。導入済みのセキュリティ製品が本来の性能を発揮できる状態を維持し、必要に応じて修復することで、企業のダウンタイムを減らす。それが私たちの考えるレジリエンスだ」（藤田氏）

　攻撃を完全に防ぐことが現実的ではない時代だからこそ、「止まらない仕組み」をどう実現するか――。エージェントそのものの稼働保証という視点から、サイバーレジリエンスの在り方を再定義する必要があるだろう。