ゼロトラストの壁は「製品」ではなかった トヨタが4年以上かけて見直したもの：「システムが戻れば復旧」は間違い？

サイバー攻撃への備えを「侵入を防ぐこと」だけで考えていないだろうか。ニチレイの事例が浮き彫りにしたのは、1社のシステム障害が取引先や顧客まで巻き込み、復旧の判断さえIT部門だけでは完結しない現実だ。では、企業は何を基準に「復旧」を考えるべきなのか。

[雨輝ITラボ（リーフレイン）, 編集：田渕聖人，＠IT]

　ニチレイの事例が示したように、流通や物流では1社のシステム停止が製造、卸、小売、外食へと連鎖します。そのため、自社のセキュリティだけを強化しても、サプライチェーン全体の事業継続を保証することはできません。

　例えば、自社が24時間以内の復旧を目標にしていても、物流を担う取引先の復旧に1週間かかれば、製品や食材の供給は止まったままです。サイバーBCPを考える際には、自社のシステムだけでなく、重要な取引先や業務依存関係まで把握する必要があるのです。

　こうした課題に対し、アサヒグループジャパンやトライアルホールディングス、三菱食品、NTTなどは、流通業界全体で脅威情報やインシデント情報を共有する「流通ISAC」（Information Sharing and Analysis Center）を設立しました。

• 参考記事：アサヒのランサム被害の教訓を生かせ　流通大手がISAC設立、その背景と課題を読みとく

　狙いは、狙われやすい攻撃パターンや脆弱性、インシデント発生時の対応知見などを共有し、個社だけでなく業界全体の対応力を高めることにあります。

　攻撃を受けた企業の経験を、その企業だけの被害や失敗として閉じるのではなく、他社が同じ被害を受けないための知見に変える。サプライチェーン全体のレジリエンスを高めるには、こうした情報共有も重要になります。

トヨタが4年以上かけたゼロトラスト改革　壁は「製品」ではなかった

　事業リスクから逆算してセキュリティを考えるアプローチを実践している代表例が、トヨタ自動車のゼロトラスト改革です。同社は「侵入を防ぐ」「侵入されても横展開させない」「侵害されても迅速に復旧する」という3段階の防御モデルを掲げています。

• 参考記事：トヨタの数年をかけたゼロトラスト改革、行く手を阻んだ最大の壁とは？

　しかし、改革の最大の壁はセキュリティ製品の性能ではありません。1000を超える業務アプリケーションごとに個別最適化されていた認証基盤を統合し、アクセス権限を見直すには、インフラ担当者、アプリケーション担当者、事業部門など、多くの関係者による調整が必要で、同社はこの基盤改革には4年以上を要しています。

　ここから見えるのは、ゼロトラストもサイバーBCPも、単に新しい製品を導入すれば完成するものではないということです。既存システムや業務プロセス、組織間の役割、権限を含めて、事業をどう守るのかを見直す必要があるでしょう。

サイバーBCPをIT部門だけで作らない

　トヨタが重視したもう一つのポイントが、サイバーBCPをIT部門だけで策定しないことです。

　マルウェアの駆除やフォレンジック調査、システム復旧はIT・セキュリティ部門が担う。一方、「工場をいつ再稼働させるか」「代替手段で事業を継続するか」「顧客サービスをいつ再開するか」といった判断には、経営層や事業部門の意思決定が必要になります。

　また、システムが稼働し始めたからといって、事業が元通りになったとは限りません。顧客や取引先への説明、サービスの再開、通常業務への移行まで含めて初めて事業の復旧となります。そのため、平時から経営層と事業部門を巻き込み、判断基準や連絡手順をプレイブックとして整備しておく必要があります。

インシデントを「失敗」で終わらせない　公開情報を次の防御に変える

　サイバー攻撃を受けた企業にとって、インシデントの詳細を公開することは簡単ではありません。設定不備や対応の遅れを明らかにすることで、批判を受けるリスクも当然あります。

　それでも、原因や対応経緯を可能な範囲で社会と共有することは、同じ弱点を持つ他社の被害を防ぐことにつながるでしょう。

　ECサイト支援を行うワサビは2026年7月、開発環境端末への不正アクセスについて調査結果を公表しました。侵入の要因として、Dockerコンテナのデータベースポートが外部接続可能な状態になっていたことに加え、開発担当者の自宅ルーターの設定・ファームウェアの問題が重なったことを説明しています。

　同社は顧客の実データ流出を免れたことを説明する一方、APIキーや管理者アカウント情報が窃取された背景や、再発防止策としてDockerの公開ポートを限定したこと、ルーターのUPnP（Universal Plug and Play）を無効化したことなども公開しました。

　この事例から得られる教訓は、「在宅勤務は危険だから廃止すべき」ということではありません。開発環境をどこで利用する場合でも、外部公開ポート、ルーター設定、認証情報、本番環境との接続分離などを継続的に管理する必要があるということです。

　企業がインシデントの原因や対応策を共有すれば、他社は自社環境に同様の死角がないかを点検できるでしょう。1社の被害を、次の攻撃を防ぐための教材に変えることも、サイバーリスクへの対応の一つです。

• 参考記事：GMOの在宅勤務廃止は間違っていない？　ワサビのインシデントから考える企業防衛

ニチレイからの続報に期待すること

　ニチレイは、攻撃手法や侵入経路、情報漏えいの有無について引き続き調査を実施するとしています。今後、被害範囲や復旧に向けた判断、サプライチェーンへの影響、再発防止策などが詳しく共有されれば、その知見は食品・物流業界だけでなく、多くの企業にとってサイバーBCPを再点検するための重要な材料になるでしょう。

　サイバー攻撃への備えを「攻撃を一度も受けないこと」だけに置くには限界があります。重要なのは、侵害された場合でも被害を広げず、重要業務を継続し、優先順位に沿ってシステムと事業を復旧させることです。

　そのためにはバックアップや認証といった技術対策だけでなく、「何を守るのか」「どこまで停止を許容するのか」「何を代替手段で継続するのか」「誰が復旧を判断するのか」を平時から決めておく必要があるでしょう。

　そして、その判断はIT部門だけでは完結しません。経営層や事業部門、IT・セキュリティ部門、さらには重要な取引先まで含めて、サプライチェーン全体で考える必要があるのです。

　ニチレイの被害が突き付けたのは、サイバー攻撃に「絶対に侵入されない」という答えだけを求めることの限界です。問われているのは、侵入されたその後に、企業がどれだけ早く事業を取り戻せるかなのです。