攻撃者に屈する前に“システムを自ら止める”――そのための「経営層の理解」をどう得る？ NRIが打ち出した支援策とは：「能動的システム停止」を“無謀な手段”にしないために（1/2 ページ）

サイバー攻撃の被害を抑えるために、システムをあえて自ら止めるという判断には、技術面に加えてビジネス面のリスクも考慮する必要があり、経営層の理解が欠かせない。その支援策をNRIらが打ち出した。その中身は。

[＠IT]

　情報漏えいの恐れがある不正アクセスや、ランサムウェア（身代金要求型マルウェア）によるシステム停止など、サイバー攻撃の被害が相次いでいる。背景の一つとして挙げられるのが、AIの存在だ。例えばAIの悪用で、脆弱（ぜいじゃく）性が攻撃に利用されるまでの期間が短くなっているとの見方がある。NRIセキュアテクノロジーズによると、脆弱性が公開されてから悪用が確認されるまでの期間は、2018年時点では平均約2.3年だった。近年は公開後、1日どころか数時間での悪用例もあるという。

　AI悪用の有無にかかわらず、サイバー攻撃による被害を抑えるには、攻撃を受けた企業がどう対処するかが重要になる。侵入を防ぐための技術的なセキュリティ対策は欠かせないものの、それだけでは被害を完全に防ぐのは不可能だ。「攻撃を受けることを前提に、被害をいかに抑えるか」という考え方は、これまでもサイバー攻撃への備えとして繰り返し説かれてきた。攻撃を受けた際の判断や対処が遅れれば、被害が拡大し、事業や企業価値にも影響しかねない。

　こうした中、サイバー攻撃の被害を抑える手段として浮上したのが「能動的システム停止」という選択肢だ。野村総合研究所（以下、NRI）およびNRIセキュアテクノロジーズによると、これは脆弱性の公表や攻撃の兆候を捉えて、被害が拡大する前にシステムを止めることを指す。

　脆弱性の修正プログラム（以下、パッチ）を速やかに適用できない場合は、Webサイトなどの一時停止もリスク低減策の一つになる――。高市早苗首相は2026年10月21日、短文投稿サイト「X」で、プログラミング言語「PHP」の重大な脆弱性への対処を呼び掛ける中で、能動的システム停止に通じるこうした考え方を示した。

攻撃の兆候を捉えたらシステムを止める――その判断に経営層を巻き込む

　システムを停止すれば事業活動に影響する一方、停止しなければサイバー攻撃の被害が拡大しかねない。技術面のリスクを踏まえて停止の必要性を判断しても、事業への影響を含めて経営層の理解を得るのは容易ではない。こうした課題の解決を目指して、NRIとNRIセキュアテクノロジーズが2026年10月22日に提供を始めたのが「サイバーレジリエンス経営支援」だ。その内容を整理しよう。

　一般的なセキュリティコンサルティングサービスは、脆弱性の深刻度などの技術指標を基に、侵入や被害を防ぐための対策を検討する。これに対してサイバーレジリエンス経営支援は、技術面の対策に加えて、CEOや取締役会を含む経営層を交えて、サイバー攻撃への対処方針に関する合意形成を支援するという。NRIの経営コンサルタントとシステムエンジニア、NRIセキュアテクノロジーズのセキュリティ専門家が合同チームを組み、「経営」「セキュリティ」「システム」の3領域について、現状の診断から課題の整理、対策の検討、実装まで一貫して支援する。