日本企業の7割は脆弱性管理が不十分？ 相次ぐ不正アクセスにガートナーが緊急提言：早急にすべき対策から中長期的なものまで

不正アクセスによる情報漏えいが相次ぐ日本企業に、ガートナーが緊急警告を発した。AIによって攻撃対象の探索から侵入までが短時間で進む時代、従来の対策だけで被害を防げるのか。

[＠IT]

　ガートナージャパン（以下、ガートナー）は2026年10月13日、国内企業で不正アクセスや個人情報漏えいが相次いでいることを受け、緊急・中長期の対策を提言した。同社の調査では、脆弱（ぜいじゃく）性管理を十分に実施できている日本の大手企業は30％にとどまる。AIによってサイバー攻撃の速度と規模が拡大する可能性がある中、どのような対策が必要なのか。

脆弱性管理ができているのはわずか3割　広がる攻撃者との格差をどう埋める？

　ガートナーのバイスプレジデントチームマネジャーである礒田優一氏は、国内で相次ぐ不正アクセスについて、AIが使われたかどうかは不明だと説明した。一方、今後はAIやエージェントの活用が広がり、脆弱性や認証、設定の不備が短期間かつ広範囲に悪用される恐れがあると指摘した。

　礒田氏は韓国の複数金融機関への攻撃で、中国製のオープンソースのエージェント型侵入テストツール「ARTEX」と大規模言語モデル（LLM）を組み合わせた攻撃が報告されたことにも言及した。ただし、国内の不正アクセス事案との関連性は明らかになっていない。

　AIエージェントなどを利用すると、攻撃対象や脆弱性の探索、攻撃コードの生成・修正、攻撃の実行といった工程を自律化できる。従来は人手で数日から数週間を要していた作業も、条件によっては数時間、さらには数分で実行される可能性がある。攻撃者の技術力や人員に左右される度合いが小さくなり、攻撃の速度と規模が拡大する恐れがある。

　2026年には、Anthropicの「Claude Mythos」など、フロンティアAIのサイバーセキュリティへの影響が注目を集めた。こうしたフロンティアAIモデルに並ぶ性能のAIを攻撃者が悪用することで、攻撃のスピードや質はさらに向上する可能性がある。

　一方、防御側では、脆弱性管理の基本的な取り組みが十分に進んでいない組織も多い。攻撃側の能力が高まる中、従来の対応速度のままでは、防御側との能力差が拡大する可能性がある。

　ガートナーのディレクターアナリストである鈴木弘之氏によると、同社が2026年7月に実施した調査では、日本の大手企業のうち脆弱性管理を十分に実施できている企業は30％にとどまった。鈴木氏は、この結果を踏まえ、企業は対策の緊急度を高め、取り組みを強化する必要があると指摘した。

「パッチ適用はサービスへの影響が……」と言っている場合ではない

　ガートナーは、企業が早急に取り組むべき対策として、インターネットに公開している資産の緊急点検を挙げた。対象にはWebアプリケーションやAPI、管理画面、VPN、クラウド環境、拠点に加え、取引先などのサードパーティーも含まれる。

　点検ではソフトウェアの脆弱性だけでなく、認証・認可の不備やAPIの設定ミスも確認する必要がある。自社が把握しているシステムだけでなく、外部に公開された資産や委託先が管理する環境も含めて、攻撃者に悪用される恐れのある弱点を洗い出すことが重要だ。

　侵入の兆候を調べることも欠かせない。ガートナーは、VPNや侵入検知システム（IDS）・侵入防御システム（IPS）、Webアプリケーションファイアウォール（WAF）、APIゲートウェイ、認証基盤、Webサーバ、従業員向けシステム、クラウド環境などのログや関連情報を横断的に調査するよう推奨した。

　具体的には、通常とは異なるアクセス、見覚えのないアカウントの作成、権限や設定の変更、大量のデータ取得などを確認する。単に脆弱性を見つけて修正するだけでなく、既に侵入されていないかどうかを調べる必要がある。

　被害の拡大を防ぐ対策も求められる。重要なシステムや情報を扱うネットワークを分離し、特権管理を強化することで、侵入後に攻撃者が内部の別のシステムに移動するラテラルムーブメントを抑制する。個人情報については、利用する必要がなくなった段階で速やかに消去されているかどうか、プライバシー原則に沿った運用になっているかどうかを確認する。

　さらに重要情報やシステムを扱う委託先、クラウド事業者、拠点などに対しても、被害の有無や緊急点検の実施状況、事故発生時の連絡体制、インシデント対応手順、復旧の見通しを確認するよう求めた。

　点検で見つかった重大な弱点は、緊急に修復する必要がある。ただし、脆弱性の修正やサービスの停止・制限には、業務への影響が伴う場合もある。ガートナーは、経営層が緊急改修やサービス停止・制限を迅速に判断できるようにする他、復旧手順、バックアップ、顧客への通知体制も再点検するよう提言した。

　中長期的には、定期的な脆弱性診断だけでなく、継続的脅威エクスポージャー管理（CTEM）の実現に向けたロードマップを策定するよう求めた。CTEMは、外部に露出した弱点や攻撃者に悪用される可能性を継続的に把握し、リスクに応じて対処の優先順位を付け、改善を進める取り組みだ。

　ガートナーは、防御側もAIを活用し、攻撃を受けてから対応するのではなく、先回りした対策を進める必要があると指摘した。また、システムの設計段階からセキュリティを組み込むとともに、日々のセキュリティ運用だけでなく、セキュリティ戦略や組織運営、システムの設計思想そのものを見直すことも求めた。

「再発防止に努める」だけでは不十分　経営者に求められる防御の転換

　相次ぐ不正アクセスによって個人情報が流出し、利用者への影響が広がる中、企業には説明責任が求められる。ガートナーは「再発防止の徹底に努める」という言葉だけでは不十分だと指摘した。

　求められるのは、被害が発生した後の対応だけではない。自社の公開資産や脆弱性を把握し、リスクの高い弱点から修正するとともに、侵入を前提とした監視や復旧体制を整えることだ。必要に応じてサービス停止や緊急改修を判断できるよう、経営層と現場の役割分担も明確にする必要がある。

　礒田氏は、企業がデジタル空間で絶え間ない攻撃にさらされている現実を直視し、経営者自身がデジタル防衛を経営の最重要課題の一つに位置付け、先頭に立って取り組む必要があると強調した。